Re: Es normal "a+x /usr/sbin"
On Sun, 24 Apr 2005, Christian Frausto Bernal wrote:
> -----BEGIN PGP SIGNED MESSAGE-----
> Hash: SHA1
>
> Segun la estructura de archivo de linux [1], en /usr/sbin van los
> archivos de administracion no vitales... los vitales van en /sbin. Por
> ser de administracion, solo root debe poder usarlos. Ve el punto 5.3 y
> el documento para mas informacion.
>
> [1] http://barrapunto.com/article.pl?sid=05/04/24/0934233
No he mirado esta referencia pero tengo claro que en /sbin pese a
contener comandos de uso reservado a root cualquier usuario tiene
permiso para ejecutarlos. Sería tonto pensar que por no dar permiso
a usar un programa nuestro sistema está a salvo. Un programa es algo
que cualquiera puede conseguir una copia y ejecutarlo.
Se permiten usar porque la política es muy abierta y muy libre. Se
permite todo salvo aquello que suponga un peligro cierto y tampoco
se oculta nada de información salvo lo que suponga un peligro cierto.
En Linux cualquiera tiene acceso a los fuentes de cualquier ejecutable
porque la seguridad no se basa en el secreto. Secretas son las claves
de usuario, algunos logs, y cosas que den pistas innecesarias a los
intrusos.
Restringir permisos sin una buena razón no es una buena política.
Si un usuario normal intenta usar '/sbin/fdisk -h' obtendrá el resultado
de la ejecución de ese comando que usado de esa forma es bastante
inofensiva. Estamos usando el comando para saber como se usa. Por el
contrario el usuario intenta hacer un uso indebido de los recursos
del sistema '/sbin/fdisk /dev/hda' obtendrá un mensaje de error por falta
de permisos sobre ese dispositivo.
Solo se pueden usar los recursos, ficheros, memoria, dispositivos, etc
haciendo una llamada al kernel.
Todo proceso viene identificado por un EUID y en mi opinión este es el
punto clave de la seguridad de todo el sistema.
--
Un saludo
Antonio Castro
/\ /\
\\W//
_|0 0|_
+-oOOO-(___o___)-OOOo---------------------+
| . . . . U U . Antonio Castro Snurmacher |
| . . . . . . . acastro@ciberdroide.com |
+()()()---------()()()--------------------+
Reply to: