Re: RESUMLE : questions de policy
> Oui, il n'y a pas grand intérêt à supprimer des utilisateurs/groupes
> existants.
ET déclarés comme étant inutiles ...
Ce qui les fait tomber dans le grand sac des choses devenues inutiles
dans un système et que **toutes** les docs relatives à la sécurité
décrètent comme devant être éliminées. Non pas qu'un truc inutile est
nécessairement et automatiquement dangereux mais surtout parce qu'il
est certain qu'un élément éliminé n'introduira pas de trou de
sécurité.
> Au contraire on peut imaginer un certain nombre de
> problèmes si on les supprime : en supprimant le groupe on libère un
> gid qui peut être attribué à un autre groupe si un autre paquet crée
> un groupe à la volée, imaginons ensuite qu'on veuille restaurer
> quelques fichiers du paquet à partir d'une sauvegarde antérieure et
> bien les infos user/group ne colleront pas...
On peut également imaginer qu'en dehors de Debian il est possible de
faire les choses proprement également... Je sais, c'est difficile à
croire.
On peut en effet systématiquement supprimer les uid/gid **inutiles**
en respect du principe de sécurité ci-dessus. Et avoir l'idée géniale
de laisser tourner le compteur des uids/gid... pour ne pas
effectivement se marcher sur les pieds ultèrieurement.
Si on affine l'analyse, on peut discerner deux type d'uid/gid : ceux
qui sont générés par un besoin système/applicatif et les autres (les
users humains)
En ce qui concerne les premiers, il me semble que les numéros sont
attribués de manière relativement standard (à quelques polémiques
près), et donc le risque de collision est réduit et ne dépend pas de
l'admin local.
En ce qui concerne les seconds, sauf erreur, lors de la création le
compteur est correctement incrémenté (le système ne recherche pas un
id inutilisé à partir de 0). Là encore, le risque de collision est
minime.(Faut le faire à la main pour avoir cette collision)
Juste pour ne pas oublier la moitié des éléments de la discussion ...
PS : pour être complet, le sujet initial que j'avais soulevé ne
traitait que des uid applicatifs.
A+
--
mailto:georges.mariano@inrets.fr tel: (33) 03 20 43 84 06
INRETS, 20 rue Élisée Reclus fax: (33) 03 20 43 83 59
BP 317 -- 59666 Villeneuve d'Ascq
http://www3.inrets.fr/estas/mariano
Reply to: