Re: Chrooted-daemons
On 21 May 2001, Peter Novodvorsky wrote:
> > > сервере важны не только данные в базе. Например, представим,
> > > что на ftp-master.debian.org крутится postgres, чтобы обеспечивать
> > > этот ftp архив. Ну как?
> >
> > Ну что как? Этот postgres крутится себе, взаимодействуя со всяческими
> > программами, обслуживающими архив, и наружу не торчит. Какой смысл
> > его chroot-ить?
>
> Ну допустим решили сделать web frontend, который обращалося бы к этой
> базе данных. Мне кажется, что желание чрутить psql находться
> в рамках нормальной паранойи.
Мне кажется, что это уже не нормальная паранойя, так как при этом
либо отрубается существенная функциональность, либо прикладывается
слишком много усилий. Затратив эти усилия на некоторые другие способы
повышения безопасности системы, можно добиться существенно больших
результатов.
> > Может ты еще и cron будешь chroot-ить?
>
> Не вопрос.
А как быть с crontab-ами пользователей, скрипты из которых должны
выполняться в домашних директорих оных пользователей?
> > Гораздо важнее было бы chroot-ить apache, но почему-то в Castle
> > этого не делают.
>
> Я думаю, что и это будет. Вообще, это довольно сложно.
Проблема в том, что то, chroot-ить апач сложно, новомодные апологеты
безопасности понимают, а то что сложно chroot-ить полнофункциональную
базу данных - нет. Потому что опыт общения с базами данных для них
ограничивается mySQL, который исходно крайне ограничен по
функциональности.
Здесь такая же проблема как использовать/неиспользовать суидные программы,
или в каких случаях ssh не заменяет rsh. Те кто развивают в данных
вопросах паранойю, обычно обладают крайне ограниченным представлением
о том, что с результатами их работы можно делать.
Результатом являются совершенно непригодные к нормальному использованию
системы, такие как редхатовский linuxconf, который обожает лишить
пользователей возможности слать почту, снеся suid у sendmail-а,
или мандрейковский графический инсталлятор, который не дает возможности
поставиться второй системой на диск с Solaris.
--
Victor Wagner vitus@ice.ru
Chief Technical Officer Office:7-(095)-748-53-88
Communiware.Net Home: 7-(095)-135-46-61
http://www.communiware.net http://www.ice.ru/~vitus
Reply to: