|
ru.linux
- RU.LINUX ---------------------------------------------------------------------
From : Dmitry Rodin <sysop5410@rambler.ru> 27 Aug 2002 13:53:27
To : Vasya Kruglov
Subject : Re: Чайник V1.02
--------------------------------------------------------------------------------
Vasya Kruglov <Vasya_Kruglov@p444.f1587.n5020.z2.fidonet.org> wrote:
AD>> ВСЕГДА. Ибо, цитирую сам себя: "Люди, которые делают дистрибутив,
AD>> очевидно имеют в разы большую квалификацию, чем начинающий
AD>> пользователь системы."
VK> Hе всегда. Если пользователь узнал про дырку, осознал, что это дырка,
VK> почему бы ему не изменить?
Если у него хватило квалификации на поиск того места, где конкретно находится
дырка, должно хватить и на ее затыкание.
VK> Hасчет ВСЕГДА - см. пример с linux -s
>>> знать пароль рута, если хочешь перейти в режим interactive startup -
>>> достаточно нажать I, пароль не спрашивают. Стоит какой-то из
>>> Mandrake 8.x А год назад, там же, для получения прав рута достаточно
>>> было сказать LILO: linux -s (или что-то вроду этого). Пароля опять
>>> не спрашивали. Что стояло - не помню. А почему такие дыры? По
>>> умолчанию :-)
AD>> Это точно такая же дыра, как, например, дисковод или CD-ROM в машине.
VK> Hе точно такая же. Для того, чтобы воспользоваться наличием дисковода нужно
VK> найти эксплоит или другую программу, а тут достаточно нажать несколько
VK> клавиш.
Открываем /etc/lilo.conf , убираем оттуда prompt и/или ставим timeout=0 .
Ибо нефиг кому-попало задавать опции для ядра.
AD>> И их точно так же ставят во все компуки. И то, и другое в подавляющем
AD>> большинстве случаев удобно и _не_ _влияет_ на безопасность.
VK> Hе влияет??? Когда посторонний человек, у которого нету даже аккаунта на
VK> данной машине, может легко и непринужденно получить рута?
Консоль и железо insecure по умолчанию. Если это не нравится - отсоединяй
монитор, видеокарту, клавиатуру и ставь криптованную файловую систему, чтобы
к информации нельзя было добраться под рутом, просто переставив HDD в другую
машину.
VK> P.S. А где удобство от отсутствия пароля?
Предположим, забыли пароль root ...
VK> Лучше уж оставить возможность
VK> загрузиться в режиме single user, но спрашивать при этом пароль.
Если чел более продвинут, он вместо -s попробует ввести init=/bin/bash и
с немаленькой вероятностью вылетит в shell еще до загрузки всех сервисов.
В случае серьезных проблем, когда систему нельзя нормально загрузить и
войти в нее обычным способом, это может оказаться полезно и удобно. Hо
когда это может сделать кто-попало просто подойдя к компу - это уязвимость.
Пока,
\Dmitry
--- tin/pre-1.4-19990216 ("Styrofoam") (UNIX) (Linux/2.2.2-ac5 (i586))
* Origin: Узел связи Fido: 2:5020/5410 (095)541-5490 (2:5020/5410.0)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
