forum.opennet.ru

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Оглавление

В OpenBSD прекращена поддержка монтирования непривилегирован..., opennews (??), 16-Июл-16, (0) [смотреть все]

Предлагаю в следующей версии отключить возможность входа в систему и вообще з, Аноним (-), 00:04 , 16-Июл-16, (1) +24 //

Зачем вы тут предлагаете Тео же не читает опеннет, напишите ему на deraadt open, ssh (ok), 00:11 , 16-Июл-16, (2) +5 //

Vse ya chitayu Nat predlozheniem podumayu , Teo de Raadt (?), 09:02 , 16-Июл-16, (11) +32 //

Господин Тео, может вообще снести систему, перекрасить компьютер в зеленой цвет , анонимоус7657 (?), 13:17 , 16-Июл-16, (20) +6

Лучше еще заменить компьютер на железобетонный блок, для надежности , Аноним (-), 18:29 , 16-Июл-16, (42) +4

Еще питание отключить Мало ли что там в блок встроено А с батарейками у всего , Аноним (-), 19:47 , 18-Июл-16, (61) +1

а можно говорить по теме, по существу , kuku (ok), 21:04 , 16-Июл-16, (47) –2

Тео скажет что молодые программисты нынче не те Часть лезет на IT форум ничего , ы (?), 11:26 , 16-Июл-16, (14) –4 //

Тяф-кун , наноним (?), 12:48 , 16-Июл-16, (19) +7
Легко Например, хоть те же средства доверенной загрузки, работающие до старта , nuclight (??), 15:33 , 16-Июл-16, (30)

А системным программистом еще проще стать, чем разработчиком операционных систем, жабабыдлокодер (ok), 15:41 , 16-Июл-16, (31) +1

Систематический , Аноним (-), 17:54 , 16-Июл-16, (40) +1

Осистемленный Осистемлённый Восистемлённый Водинэстемлённый , Andrey Mitrofanov (?), 21:49 , 16-Июл-16, (48) +1

http www raidix ru vacancy c-developer Разработка файловой системы под Linux Я, 1 (??), 10:24 , 18-Июл-16, (58) +2

Все просто Это не моложые программисты Программистов вообще немного в сравнени, Аноним (-), 23:40 , 16-Июл-16, (49)

Ещё запретите писать в tmp - для верности А то ещё переполнят невзначай систем, iZEN (ok), 01:40 , 16-Июл-16, (3) +2 //

все на rust , Аноним (-), 04:52 , 16-Июл-16, (8) //

Какой раст Для Изи существует только один язык программирования , Потёртый (?), 13:46 , 16-Июл-16, (21) +4 //

Причём он тот язык в глаза не видал дальше хелловорлда , Аноним (-), 14:21 , 16-Июл-16, (22) +2

тогда уж на Оберон-2 обьектные форки вот уж где файловер допилен из коробки и, Аноним (-), 16:11 , 17-Июл-16, (53)

Да что там мелочится - возможность загрузки ОС пусть отключают сразу, от неё все, Аноним (-), 02:03 , 16-Июл-16, (4) +3 //

Отключить возможность загрузки ОС непривилегированными пользователями Это повыс, РОСКОМУЗОР (?), 18:36 , 16-Июл-16, (44) +2 //

Предлагаю все полномочия передать Скайнету Это радикально повысит безопасность,, Потёртый (?), 20:19 , 16-Июл-16, (46) +1

Предлагаю удалить возможность загрузки системы , Аноним (-), 02:58 , 16-Июл-16, (5)
из этой новости я узнал, что такая опция там была, бедный буратино (ok), 04:53 , 16-Июл-16, (9) +1 //

Под рутом сидишь 111 D, ssh (ok), 07:10 , 16-Июл-16, (10) +2 //

А зачем на роутере под кем-то ещё сидеть , Аноним (-), 14:21 , 16-Июл-16, (23) +4

Такой ход открывает путь всем тем уязвимостям , для которых нужен привилегирова, Аноним (-), 09:59 , 16-Июл-16, (12) +1 //

doas sudo позволяют предоставить пользователю возможность монтирования устройств, ssh (ok), 11:30 , 16-Июл-16, (15) //

проблема не в админе, а в самостоятельных скриптах, которые теперь может потребо, Аноним (-), 12:19 , 16-Июл-16, (17) //

костыль можно в скрипте команду заменить на echo USERPWD 124 sudo -S --pro, Аноним (-), 12:28 , 16-Июл-16, (18) –3

man sudo 124 grep NOPASSWD, Аноним (-), 14:22 , 16-Июл-16, (24) +2

Убрать пароль - это очень меткое решение Продвинутые Windows уже 20 лет как поз, Аноним (-), 16:29 , 16-Июл-16, (33) +1

в OpenBSD это уже больше 20 лет, как есть http www openbsd org faq faq8 html, бедный буратино (ok), 16:42 , 16-Июл-16, (35) +1
Не пойму - ты из секты забанненых в гугле или это ускользающе тонкий юмор , Аноним (-), 17:21 , 16-Июл-16, (39) +2
Зачем убирать пароль для одной команды Я свободный от зад ротство человек Лучш, Аноним (-), 12:10 , 17-Июл-16, (52)

При использовании sudo есть проблема, если её запускать не по абсолютному пути , Comdiv (ok), 19:37 , 16-Июл-16, (45) –2 //

Чудак, об этом все нормальные админы знают и только ты открыл для себя Америку , angra (ok), 18:22 , 17-Июл-16, (54) +1

Очень рад за нормальных админов, у которых есть время покрасноглазить, но есть и, Comdiv (ok), 00:04 , 18-Июл-16, (56) –1

Да причем здесь красноглазие Или вы думаете, что это какая-то особо тайная инфо, angra (ok), 03:08 , 18-Июл-16, (57)

Об этом догадается любой, кто об этом задумается, но не все задумываются, потому, Comdiv (ok), 12:04 , 18-Июл-16, (59) –1

Ой, как всё запущено Я думал ты пытаешься придумать как из под пользователя адм, angra (ok), 14:54 , 18-Июл-16, (60)

Похоже на то, что наступил кризис жанра Почему-то под Windows никто не задумы, iZEN (ok), 22:48 , 18-Июл-16, (62)
То есть, Вы 2-а раза не поняли о чём заметка, и выставляете это как доблесть Я п, Comdiv (ok), 23:32 , 18-Июл-16, (63) –1

Последнее объяснение с помощью аналогии, так как нормально ты похоже не понял В, angra (ok), 02:25 , 19-Июл-16, (64) +1

Последнее объяснение с помощью аналогии, так как нормально Вы так и непоняли и у, Comdiv (ok), 03:21 , 19-Июл-16, (65) –1

Во-первых, не надо искажать мою аналогию, а то возникает впечатление, что ты хоч, angra (ok), 05:28 , 19-Июл-16, (66)
Дело в том, что созданные известными архитекторами эскизы, по которым был постро, Comdiv (ok), 13:40 , 19-Июл-16, (67) –1

Нет чтоб починить, решили запретить Никого не напоминает , Аноним (-), 11:08 , 16-Июл-16, (13) +1 //

doas sudo позволяют предоставить пользователю возможность монтирования устройств, Аноним (-), 11:39 , 16-Июл-16, (16) –1

Тео походу пивка обпился Может послабее варить будешь , Daemon (??), 14:32 , 16-Июл-16, (25)
В линуксе уже давно так Решается Халом и прочими udisk-ами, Аноним (-), 14:35 , 16-Июл-16, (26) –1 //

нет , Аноним (-), 15:17 , 16-Июл-16, (28) //

А как , Аноним (-), 15:28 , 16-Июл-16, (29) –1 //

Опциями user и users в etc fstab, Аноним (-), 16:27 , 16-Июл-16, (32) +2

И в OpenBSD так, Anonymo (?), 09:09 , 22-Июл-16, (69) –1

прям как в нащем гос-ве - всё запретить других методов неприемлем , АнониМ (ok), 15:06 , 16-Июл-16, (27) –1 //

Переезжайте в Россию - тут всё свободно Даже борцунов с кровавым режимом не саж, Аноним (-), 16:32 , 16-Июл-16, (34) +4

теперь все будут root-ами сидеть , Аноним (-), 17:15 , 16-Июл-16, (36) //

И ничего не поменятся , Аноним (-), 17:20 , 16-Июл-16, (38)

скоро в новостях - прекращена поддержка настройки сети- прекращена поддержка нас, IMHO (?), 18:20 , 16-Июл-16, (41)
У них там fuse есть Вообще, если у системы вообще есть непривилегированные пол, Аноним (-), 23:42 , 16-Июл-16, (50) //

Есть Работает doas mount, Аноним (-), 00:35 , 20-Июл-16, (68) –1

Это полумеры Из соображений безопасности нужно запретить непривелигерованых пол, Нанобот (ok), 07:45 , 17-Июл-16, (51) //

Точно, нет юзера - нет и проблемы Хороший юзер - deleted user , Sfinx (ok), 21:31 , 17-Июл-16, (55) +2

Джо Неуловимый давно решил все свои проблемы , Анатолий (??), 20:49 , 23-Июл-16, (70)

Сообщения [Сортировка по времени | RSS]

15. "В OpenBSD прекращена поддержка монтирования непривилегирован..." +/–

Сообщение от ssh (ok), 16-Июл-16, 11:30

> Такой ход открывает путь всем тем "уязвимостям", для которых нужен привилегированный доступ,
> потому как использоваться такой доступ будет чаще.
> Поэтому это решение, возможно, временное.
doas/sudo позволяют предоставить пользователю возможность монтирования устройств практически с тем же уровнем комфорта. Честное слово, не вижу в запрете никакой драмы.

Ответить | Правка | Наверх | Cообщить модератору

17. "В OpenBSD прекращена поддержка монтирования непривилегирован..." +/–

Сообщение от Аноним (-), 16-Июл-16, 12:19

проблема не в админе, а в самостоятельных скриптах, которые теперь может потребоваться выполнять из-под рута;  с живым админом проблемы тут действительно нет, потому что при ручном монтировании он будет с привелегиями выполнять только само монтирование (подразумевается разумный админ).

Ответить | Правка | Наверх | Cообщить модератору

18. "В OpenBSD прекращена поддержка монтирования непривилегирован..." –3 +/–

Сообщение от Аноним (-), 16-Июл-16, 12:28

костыль: можно в скрипте команду заменить на "echo $USERPWD | sudo -S --prompt="" mount ...", и соответственно настроить sudoers;  проблема в том, что $USERPWD тут в скрипте лежать должен, что совсем плохая практика.

Ответить | Правка | Наверх | Cообщить модератору

24. "В OpenBSD прекращена поддержка монтирования непривилегирован..." +2 +/–

Сообщение от Аноним (-), 16-Июл-16, 14:22

> костыль: можно в скрипте команду заменить на "echo $USERPWD | sudo -S
> --prompt="" mount ...", и соответственно настроить sudoers;  проблема в том,
> что $USERPWD тут в скрипте лежать должен, что совсем плохая практика.
man sudo | grep NOPASSWD

Ответить | Правка | Наверх | Cообщить модератору

33. "В OpenBSD прекращена поддержка монтирования непривилегирован..." +1 +/–

Сообщение от Аноним (-), 16-Июл-16, 16:29

Убрать пароль - это очень меткое решение. Продвинутые Windows уже 20 лет как позволяют админу без паролей в систему входить. Очень нехватает этого в юниксах и - особенно - в OpenBSD.

Ответить | Правка | Наверх | Cообщить модератору

35. "В OpenBSD прекращена поддержка монтирования непривилегирован..." +1 +/–

Сообщение от бедный буратино (ok), 16-Июл-16, 16:42

> Продвинутые Windows уже 20 лет как позволяют админу без паролей в систему входить.
> Очень нехватает этого в юниксах и - особенно - в OpenBSD.
в OpenBSD это уже больше 20 лет, как есть :)
http://www.openbsd.org/faq/faq8.html#LostPW

Ответить | Правка | Наверх | Cообщить модератору

39. "В OpenBSD прекращена поддержка монтирования непривилегирован..." +2 +/–

Сообщение от Аноним (-), 16-Июл-16, 17:21

Не пойму - ты из секты забанненых в гугле или это ускользающе тонкий юмор?

Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

52. "В OpenBSD прекращена поддержка монтирования непривилегирован..." +/–

Сообщение от Аноним (-), 17-Июл-16, 12:10

Зачем убирать пароль для одной команды? Я свободный от зад ротство человек! Лучше я сохраню его в скрипте, который все прочитают!

Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

45. "В OpenBSD прекращена поддержка монтирования непривилегирован..." –2 +/–

Сообщение от Comdiv (ok), 16-Июл-16, 19:37

При использовании sudo есть проблема, если её запускать не по абсолютному пути. А Вы когда-нибудь видели, чтобы её запускали по абсолютному пути?
Я писал об этом заметку http://comdivbyzero.blogspot.ru/2016/01/big-mistake-in-using...

Ответить | Правка | К родителю #15 | Наверх | Cообщить модератору

54. "В OpenBSD прекращена поддержка монтирования непривилегирован..." +1 +/–

Сообщение от angra (ok), 17-Июл-16, 18:22

Чудак, об этом все нормальные админы знают и только ты открыл для себя Америку. Хочешь я тебе еще несколько столь же страшных "уязвимостей" расскажу, а ты новую статейку тиснешь в бложик?

Ответить | Правка | Наверх | Cообщить модератору

56. "В OpenBSD прекращена поддержка монтирования непривилегирован..." –1 +/–

Сообщение от Comdiv (ok), 18-Июл-16, 00:04

> Чудак, об этом все нормальные админы знают и только ты открыл для
> себя Америку.
Очень рад за нормальных админов, у которых есть время покрасноглазить, но есть и ведь и такая разновидность, как админы локалхостов, и безопасность им тоже нужна. И моё мнение просто - в основных дистрибутивах наиболее безопасное поведение должно быть настроено по умолчанию, а если нет, то хотя бы пользователи должны знать об этом. И для этого, как ни страннно, в том числе, нужно писать об этом в бложиках.
> Хочешь я тебе еще несколько столь же страшных "уязвимостей"
> расскажу, а ты новую статейку тиснешь в бложик?
Зачем? Напишите об этом в свой бложик. Вместо того, чтобы высокомерно дартаньянить, гордясь своей причастностью к тру-специалистам, распространяйте информацию и способствуйте повышению общего уровня. Такую деятельность нужно не высмеивать, а поддерживать.

Ответить | Правка | Наверх | Cообщить модератору

57. "В OpenBSD прекращена поддержка монтирования непривилегирован..." +/–

Сообщение от angra (ok), 18-Июл-16, 03:08

Да причем здесь красноглазие? Или вы думаете, что это какая-то особо тайная информация, доступная избранным? Это просто здравый вывод делаемый _самостоятельно_ админом из понимания того, что такое PATH, а также из понимания разграничения прав пользователя. В качестве мощнейшей подсказки выступает невозможность запустить программу непосредственно из текущей директории. А если чуть лучше изучить вопрос и практику работы админов, то окажется, что проблема вообще надумана.
Хотя если судить по предлагаемым путям решения, то создается впечатление, что кое-кто очень слабо понял как работают права, шелл, пользователи, переменные окружения и запуск привелигированных программ. И вместо реального понимания черпает представления из опыта винды. Вот расскажи мне реальный сценарий получения прав с использованием данной "уязвимости". Ну создал ты юзером файлик sudo со своим кодом, добавил его в _свой_ PATH, а дальше что? Ведь у тебя сразу четыре проблемы:
1. Заставить админа переключится на твоего пользователя
2. Заставить его при этом загрузить твое окружение
3. Убедить его запустить sudo, которое ему нафиг не нужно под твоим пользователем.
4. Хоть что-то из этого поиметь, кроме получения своего же собственного пароля, который тебе и так известен.

Ответить | Правка | Наверх | Cообщить модератору

59. "В OpenBSD прекращена поддержка монтирования непривилегирован..." –1 +/–

Сообщение от Comdiv (ok), 18-Июл-16, 12:04

> Да причем здесь красноглазие? Или вы думаете, что это какая-то особо тайная
> информация, доступная избранным?
Об этом догадается любой, кто об этом задумается, но не все задумываются, потому что для них ОС второстепенна, и думают они над решаемыми задачами, а не настройке. Обратите внимание, на чьё сообщение я отвечал. Он об этом догадывался?
Вы полагаете, что я считаю это тайной информацией, и поэтому говорю об этом в интернете для всех? Сарказм должен быть уместным, иначе он только усиливает сказанную глупость.
> А если чуть лучше изучить вопрос и
> практику работы админов, то окажется, что проблема вообще надумана.
Ещё раз, не все являются админами, а безопасность нужна везде и по умолчанию, а не после долгих настроек. Я исхожу из фактов - почти все рецепты в сети подаются неправильно, даже ОС услужливо подсказывает неправильно. И это свидетельствует о том, что проблема надумана?
> использованием данной "уязвимости". Ну создал ты юзером файлик sudo со своим
> кодом, добавил его в _свой_ PATH, а дальше что? Ведь у
Я же написал, для чего это может быть применено - для повышения привилегий и получения пароля пользователя. Надеюсь, как грамотный админ Вы понимаете, что речь не идёт о проникновении с одной стороны, а с другой стороны, что такие вещи должны исправляться независимо, чтобы у злоумышленника не было возможности совместить обе вещи.
Итак:
1. Запускаем злонамеренный код через троян или уязвимость.
2. Если скопрометирован терминал, вызываем setenv, если нет - правим .bashrc
3. Создаём свой sudo, считывающий пароль пользователя и незаметно выполняющим подставной код.
4. Ждём, когда пользователю потребуется sudo
5. Profit
Есть такая возможность или нет? Или я из Windows что-то притащил?

Ответить | Правка | Наверх | Cообщить модератору

60. "В OpenBSD прекращена поддержка монтирования непривилегирован..." +/–

Сообщение от angra (ok), 18-Июл-16, 14:54

Ой, как всё запущено. Я думал ты пытаешься придумать как из под пользователя админа ломануть, а ты оказывается вообще дурью маешься. Если уж зловред может запустится под пользователем и подставить ввод в sudo, то что мешает просто подставить ввод в passwd, зачем ждать у моря погоды? Зачем дурацкая манипуляция путями, когда можно просто стать шеллом и перехватывать вообще все команды независимо от относительных и абсолютных путей?
Но кое в чем ты прав, я о такой глупости даже не задумывался.

Ответить | Правка | Наверх | Cообщить модератору

62. "В OpenBSD прекращена поддержка монтирования непривилегирован..." +/–

Сообщение от iZEN (ok), 18-Июл-16, 22:48

Похоже на то, что наступил "кризис жанра". Почему-то под Windows никто не задумывается о небезопасном монтировании флэшек. Всё как-то само получается, и пользователи не страдают.

Ответить | Правка | Наверх | Cообщить модератору

63. "В OpenBSD прекращена поддержка монтирования непривилегирован..." –1 +/–

Сообщение от Comdiv (ok), 18-Июл-16, 23:32

> Ой, как всё запущено. Я думал ты пытаешься придумать как из под
> пользователя админа ломануть, а ты оказывается вообще дурью маешься.
То есть, Вы 2-а раза не поняли о чём заметка, и выставляете это как доблесть?
> Если уж
> зловред может запустится под пользователем и подставить ввод в sudo, то
> что мешает просто подставить ввод в passwd, зачем ждать у моря
> погоды? Зачем дурацкая манипуляция путями, когда можно просто стать шеллом и
> перехватывать вообще все команды независимо от относительных и абсолютных путей?
Я писал об этом в заметке. Вынужден констатировать, что и с 3-го раза Вы не поняли.
На всяки случай сообщаю, что если предпринять меры, то локальный прорыв закончится вместе с закрытой сессией.
> Но кое в чем ты прав, я о такой глупости даже не
> задумывался.
Ради бога, потешайтесь, не жалко.

Ответить | Правка | К родителю #60 | Наверх | Cообщить модератору

64. "В OpenBSD прекращена поддержка монтирования непривилегирован..." +1 +/–

Сообщение от angra (ok), 19-Июл-16, 02:25

Последнее объяснение с помощью аналогии, так как нормально ты похоже не понял.
Вот ты пишешь статью: "дымоходы небезопасны, воры могут ими воспользоваться и пока на них не будут ставить решетки надо своими силами их законопатить". Я предполагю, что имеется ввиду их использование для проникновения в дом и говорю, что с одной стороны это само собой разумеется, с другой стороны маловероятный способ проникновения и меры противодействия неадекватны. И тут оказывается, что ты говорил не о самом проникновении, а о том, что проникнувшие в дом смогут через дымоход вытащить вещи. Мысль о том, что они для этого могут воспользоваться дверью или окнами до тебя не доходит даже после явного ее высказывания. Ты все равно уверен, что воры будут тянуть вещи через дымоход и с этим надо бороться.
Если и после этого не дойдет, то извини, пояснительные картинки рисовать не умею.

Ответить | Правка | Наверх | Cообщить модератору

65. "В OpenBSD прекращена поддержка монтирования непривилегирован..." –1 +/–

Сообщение от Comdiv (ok), 19-Июл-16, 03:21

Последнее объяснение с помощью аналогии, так как нормально Вы так и непоняли и умудрились даже иронизировать по этому поводу.
Вот я написал заметку: "сейф с цифровым замком должен быть таким, чтобы на него нельзя было нацепить фальшивую переднюю панель, которую могли бы прикрепить злоумышленники, в случае их проникновения в дом через дымоход, окно или дверь, и таким образом завладеть паролем и доступом в сейф."
Ко мне приходит специалист, и не разобравшись в заметке, начинает говорить, что всё и так понятно, но неправильно и вообще я веду себя не как житель дома, а сарая. По мере сил я пытаюсь разъяснить специалисту свою позицию, но тот мне перечит, что на самом деле я веду речь о том, что надо законопатить дымоходы, и до меня не доходит, что воры могут воспользоваться окном или дверью. И это несмотря на то, что я ничего не говорил о решётках на дымоходе и его конопачении, а только о повышении безопасности сейфа.
Специалист, уверенный, что открыватель Америки так ничего и не понял, уходит с гордо поднятой головой.
Я, ненавязчиво прикладывая ладонь к лицу, говорою ему до свидания и благодарю за плодотворную беседу. В конце концов, никто из нас не умеет рисовать пояснительные записки.

Ответить | Правка | Наверх | Cообщить модератору

66. "В OpenBSD прекращена поддержка монтирования непривилегирован..." +/–

Сообщение от angra (ok), 19-Июл-16, 05:28

Во-первых, не надо искажать мою аналогию, а то возникает впечатление, что ты хочешь не понять, а выиграть спор. В этом случае просто считай себя победившим и не пиши больше, спор ради спора меня не интересует.
Во-вторых, поясняю в рамках твоей аналогии - зачем возиться с фальшивой панелью, если можно просто взять и вскрыть сейф? Что собственно всегда и делается на практике. Только в исходном случае всё еще печальней, ведь трудоемкость подставления ввода в passwd и в sudo одинакова.

Ответить | Правка | Наверх | Cообщить модератору

67. "В OpenBSD прекращена поддержка монтирования непривилегирован..." –1 +/–

Сообщение от Comdiv (ok), 19-Июл-16, 13:40

Дело в том, что созданные известными архитекторами эскизы, по которым был построен дом, были неплохо продуманы в этом плане, и не позволяли только на основании проникновения в дом завладеть доступом в сейф, вскрыв его грубой силой.
Для этого злоумышленнику нужно найти червоточину в защите, что усложняется тем, что червоточины регулярно находятся и залатываются работниками службы поддержки домоуправления.
Я заметил, что, в принципе, есть возможность получить доступ и без использования червоточин, обойдясь установкой скиммера на сейф.
Написав заметку об этом в местной стенгазете и сообщив о ней жителями других домов, я получил обвинения от одного специалиста в том, что занимаюсь глупостью.
И при чём тут passwd, которым многие никогда не пользуются, в отличии от /usr/bin/sudo, который требуется постоянно.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру


	15. "В OpenBSD прекращена поддержка монтирования непривилегирован..."	+/–
	Сообщение от ssh (ok), 16-Июл-16, 11:30
	> Такой ход открывает путь всем тем "уязвимостям", для которых нужен привилегированный доступ, > потому как использоваться такой доступ будет чаще. > Поэтому это решение, возможно, временное. doas/sudo позволяют предоставить пользователю возможность монтирования устройств практически с тем же уровнем комфорта. Честное слово, не вижу в запрете никакой драмы.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	17. "В OpenBSD прекращена поддержка монтирования непривилегирован..."	+/–
	Сообщение от Аноним (-), 16-Июл-16, 12:19
	проблема не в админе, а в самостоятельных скриптах, которые теперь может потребоваться выполнять из-под рута; с живым админом проблемы тут действительно нет, потому что при ручном монтировании он будет с привелегиями выполнять только само монтирование (подразумевается разумный админ).
	Ответить \| Правка \| Наверх \| Cообщить модератору


	18. "В OpenBSD прекращена поддержка монтирования непривилегирован..."	–3 +/–
	Сообщение от Аноним (-), 16-Июл-16, 12:28
	костыль: можно в скрипте команду заменить на "echo $USERPWD \| sudo -S --prompt="" mount ...", и соответственно настроить sudoers; проблема в том, что $USERPWD тут в скрипте лежать должен, что совсем плохая практика.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	24. "В OpenBSD прекращена поддержка монтирования непривилегирован..."	+2 +/–
	Сообщение от Аноним (-), 16-Июл-16, 14:22
	> костыль: можно в скрипте команду заменить на "echo $USERPWD \| sudo -S > --prompt="" mount ...", и соответственно настроить sudoers; проблема в том, > что $USERPWD тут в скрипте лежать должен, что совсем плохая практика. man sudo \| grep NOPASSWD
	Ответить \| Правка \| Наверх \| Cообщить модератору


	33. "В OpenBSD прекращена поддержка монтирования непривилегирован..."	+1 +/–
	Сообщение от Аноним (-), 16-Июл-16, 16:29
	Убрать пароль - это очень меткое решение. Продвинутые Windows уже 20 лет как позволяют админу без паролей в систему входить. Очень нехватает этого в юниксах и - особенно - в OpenBSD.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	35. "В OpenBSD прекращена поддержка монтирования непривилегирован..."	+1 +/–
	Сообщение от бедный буратино (ok), 16-Июл-16, 16:42
	> Продвинутые Windows уже 20 лет как позволяют админу без паролей в систему входить. > Очень нехватает этого в юниксах и - особенно - в OpenBSD. в OpenBSD это уже больше 20 лет, как есть :) http://www.openbsd.org/faq/faq8.html#LostPW
	Ответить \| Правка \| Наверх \| Cообщить модератору


	39. "В OpenBSD прекращена поддержка монтирования непривилегирован..."	+2 +/–
	Сообщение от Аноним (-), 16-Июл-16, 17:21
	Не пойму - ты из секты забанненых в гугле или это ускользающе тонкий юмор?
	Ответить \| Правка \| К родителю #33 \| Наверх \| Cообщить модератору


	52. "В OpenBSD прекращена поддержка монтирования непривилегирован..."	+/–
	Сообщение от Аноним (-), 17-Июл-16, 12:10
	Зачем убирать пароль для одной команды? Я свободный от зад ротство человек! Лучше я сохраню его в скрипте, который все прочитают!
	Ответить \| Правка \| К родителю #33 \| Наверх \| Cообщить модератору


	45. "В OpenBSD прекращена поддержка монтирования непривилегирован..."	–2 +/–
	Сообщение от Comdiv (ok), 16-Июл-16, 19:37
	При использовании sudo есть проблема, если её запускать не по абсолютному пути. А Вы когда-нибудь видели, чтобы её запускали по абсолютному пути? Я писал об этом заметку http://comdivbyzero.blogspot.ru/2016/01/big-mistake-in-using...
	Ответить \| Правка \| К родителю #15 \| Наверх \| Cообщить модератору


	54. "В OpenBSD прекращена поддержка монтирования непривилегирован..."	+1 +/–
	Сообщение от angra (ok), 17-Июл-16, 18:22
	Чудак, об этом все нормальные админы знают и только ты открыл для себя Америку. Хочешь я тебе еще несколько столь же страшных "уязвимостей" расскажу, а ты новую статейку тиснешь в бложик?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	56. "В OpenBSD прекращена поддержка монтирования непривилегирован..."	–1 +/–
	Сообщение от Comdiv (ok), 18-Июл-16, 00:04
	> Чудак, об этом все нормальные админы знают и только ты открыл для > себя Америку. Очень рад за нормальных админов, у которых есть время покрасноглазить, но есть и ведь и такая разновидность, как админы локалхостов, и безопасность им тоже нужна. И моё мнение просто - в основных дистрибутивах наиболее безопасное поведение должно быть настроено по умолчанию, а если нет, то хотя бы пользователи должны знать об этом. И для этого, как ни страннно, в том числе, нужно писать об этом в бложиках. > Хочешь я тебе еще несколько столь же страшных "уязвимостей" > расскажу, а ты новую статейку тиснешь в бложик? Зачем? Напишите об этом в свой бложик. Вместо того, чтобы высокомерно дартаньянить, гордясь своей причастностью к тру-специалистам, распространяйте информацию и способствуйте повышению общего уровня. Такую деятельность нужно не высмеивать, а поддерживать.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	57. "В OpenBSD прекращена поддержка монтирования непривилегирован..."	+/–
	Сообщение от angra (ok), 18-Июл-16, 03:08
	Да причем здесь красноглазие? Или вы думаете, что это какая-то особо тайная информация, доступная избранным? Это просто здравый вывод делаемый _самостоятельно_ админом из понимания того, что такое PATH, а также из понимания разграничения прав пользователя. В качестве мощнейшей подсказки выступает невозможность запустить программу непосредственно из текущей директории. А если чуть лучше изучить вопрос и практику работы админов, то окажется, что проблема вообще надумана. Хотя если судить по предлагаемым путям решения, то создается впечатление, что кое-кто очень слабо понял как работают права, шелл, пользователи, переменные окружения и запуск привелигированных программ. И вместо реального понимания черпает представления из опыта винды. Вот расскажи мне реальный сценарий получения прав с использованием данной "уязвимости". Ну создал ты юзером файлик sudo со своим кодом, добавил его в _свой_ PATH, а дальше что? Ведь у тебя сразу четыре проблемы: 1. Заставить админа переключится на твоего пользователя 2. Заставить его при этом загрузить твое окружение 3. Убедить его запустить sudo, которое ему нафиг не нужно под твоим пользователем. 4. Хоть что-то из этого поиметь, кроме получения своего же собственного пароля, который тебе и так известен.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	59. "В OpenBSD прекращена поддержка монтирования непривилегирован..."	–1 +/–
	Сообщение от Comdiv (ok), 18-Июл-16, 12:04
	> Да причем здесь красноглазие? Или вы думаете, что это какая-то особо тайная > информация, доступная избранным? Об этом догадается любой, кто об этом задумается, но не все задумываются, потому что для них ОС второстепенна, и думают они над решаемыми задачами, а не настройке. Обратите внимание, на чьё сообщение я отвечал. Он об этом догадывался? Вы полагаете, что я считаю это тайной информацией, и поэтому говорю об этом в интернете для всех? Сарказм должен быть уместным, иначе он только усиливает сказанную глупость. > А если чуть лучше изучить вопрос и > практику работы админов, то окажется, что проблема вообще надумана. Ещё раз, не все являются админами, а безопасность нужна везде и по умолчанию, а не после долгих настроек. Я исхожу из фактов - почти все рецепты в сети подаются неправильно, даже ОС услужливо подсказывает неправильно. И это свидетельствует о том, что проблема надумана? > использованием данной "уязвимости". Ну создал ты юзером файлик sudo со своим > кодом, добавил его в _свой_ PATH, а дальше что? Ведь у Я же написал, для чего это может быть применено - для повышения привилегий и получения пароля пользователя. Надеюсь, как грамотный админ Вы понимаете, что речь не идёт о проникновении с одной стороны, а с другой стороны, что такие вещи должны исправляться независимо, чтобы у злоумышленника не было возможности совместить обе вещи. Итак: 1. Запускаем злонамеренный код через троян или уязвимость. 2. Если скопрометирован терминал, вызываем setenv, если нет - правим .bashrc 3. Создаём свой sudo, считывающий пароль пользователя и незаметно выполняющим подставной код. 4. Ждём, когда пользователю потребуется sudo 5. Profit Есть такая возможность или нет? Или я из Windows что-то притащил?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	60. "В OpenBSD прекращена поддержка монтирования непривилегирован..."	+/–
	Сообщение от angra (ok), 18-Июл-16, 14:54
	Ой, как всё запущено. Я думал ты пытаешься придумать как из под пользователя админа ломануть, а ты оказывается вообще дурью маешься. Если уж зловред может запустится под пользователем и подставить ввод в sudo, то что мешает просто подставить ввод в passwd, зачем ждать у моря погоды? Зачем дурацкая манипуляция путями, когда можно просто стать шеллом и перехватывать вообще все команды независимо от относительных и абсолютных путей? Но кое в чем ты прав, я о такой глупости даже не задумывался.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	62. "В OpenBSD прекращена поддержка монтирования непривилегирован..."	+/–
	Сообщение от iZEN (ok), 18-Июл-16, 22:48
	Похоже на то, что наступил "кризис жанра". Почему-то под Windows никто не задумывается о небезопасном монтировании флэшек. Всё как-то само получается, и пользователи не страдают.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	63. "В OpenBSD прекращена поддержка монтирования непривилегирован..."	–1 +/–
	Сообщение от Comdiv (ok), 18-Июл-16, 23:32
	> Ой, как всё запущено. Я думал ты пытаешься придумать как из под > пользователя админа ломануть, а ты оказывается вообще дурью маешься. То есть, Вы 2-а раза не поняли о чём заметка, и выставляете это как доблесть? > Если уж > зловред может запустится под пользователем и подставить ввод в sudo, то > что мешает просто подставить ввод в passwd, зачем ждать у моря > погоды? Зачем дурацкая манипуляция путями, когда можно просто стать шеллом и > перехватывать вообще все команды независимо от относительных и абсолютных путей? Я писал об этом в заметке. Вынужден констатировать, что и с 3-го раза Вы не поняли. На всяки случай сообщаю, что если предпринять меры, то локальный прорыв закончится вместе с закрытой сессией. > Но кое в чем ты прав, я о такой глупости даже не > задумывался. Ради бога, потешайтесь, не жалко.
	Ответить \| Правка \| К родителю #60 \| Наверх \| Cообщить модератору


	64. "В OpenBSD прекращена поддержка монтирования непривилегирован..."	+1 +/–
	Сообщение от angra (ok), 19-Июл-16, 02:25
	Последнее объяснение с помощью аналогии, так как нормально ты похоже не понял. Вот ты пишешь статью: "дымоходы небезопасны, воры могут ими воспользоваться и пока на них не будут ставить решетки надо своими силами их законопатить". Я предполагю, что имеется ввиду их использование для проникновения в дом и говорю, что с одной стороны это само собой разумеется, с другой стороны маловероятный способ проникновения и меры противодействия неадекватны. И тут оказывается, что ты говорил не о самом проникновении, а о том, что проникнувшие в дом смогут через дымоход вытащить вещи. Мысль о том, что они для этого могут воспользоваться дверью или окнами до тебя не доходит даже после явного ее высказывания. Ты все равно уверен, что воры будут тянуть вещи через дымоход и с этим надо бороться. Если и после этого не дойдет, то извини, пояснительные картинки рисовать не умею.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	65. "В OpenBSD прекращена поддержка монтирования непривилегирован..."	–1 +/–
	Сообщение от Comdiv (ok), 19-Июл-16, 03:21
	Последнее объяснение с помощью аналогии, так как нормально Вы так и непоняли и умудрились даже иронизировать по этому поводу. Вот я написал заметку: "сейф с цифровым замком должен быть таким, чтобы на него нельзя было нацепить фальшивую переднюю панель, которую могли бы прикрепить злоумышленники, в случае их проникновения в дом через дымоход, окно или дверь, и таким образом завладеть паролем и доступом в сейф." Ко мне приходит специалист, и не разобравшись в заметке, начинает говорить, что всё и так понятно, но неправильно и вообще я веду себя не как житель дома, а сарая. По мере сил я пытаюсь разъяснить специалисту свою позицию, но тот мне перечит, что на самом деле я веду речь о том, что надо законопатить дымоходы, и до меня не доходит, что воры могут воспользоваться окном или дверью. И это несмотря на то, что я ничего не говорил о решётках на дымоходе и его конопачении, а только о повышении безопасности сейфа. Специалист, уверенный, что открыватель Америки так ничего и не понял, уходит с гордо поднятой головой. Я, ненавязчиво прикладывая ладонь к лицу, говорою ему до свидания и благодарю за плодотворную беседу. В конце концов, никто из нас не умеет рисовать пояснительные записки.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	66. "В OpenBSD прекращена поддержка монтирования непривилегирован..."	+/–
	Сообщение от angra (ok), 19-Июл-16, 05:28
	Во-первых, не надо искажать мою аналогию, а то возникает впечатление, что ты хочешь не понять, а выиграть спор. В этом случае просто считай себя победившим и не пиши больше, спор ради спора меня не интересует. Во-вторых, поясняю в рамках твоей аналогии - зачем возиться с фальшивой панелью, если можно просто взять и вскрыть сейф? Что собственно всегда и делается на практике. Только в исходном случае всё еще печальней, ведь трудоемкость подставления ввода в passwd и в sudo одинакова.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	67. "В OpenBSD прекращена поддержка монтирования непривилегирован..."	–1 +/–
	Сообщение от Comdiv (ok), 19-Июл-16, 13:40
	Дело в том, что созданные известными архитекторами эскизы, по которым был построен дом, были неплохо продуманы в этом плане, и не позволяли только на основании проникновения в дом завладеть доступом в сейф, вскрыв его грубой силой. Для этого злоумышленнику нужно найти червоточину в защите, что усложняется тем, что червоточины регулярно находятся и залатываются работниками службы поддержки домоуправления. Я заметил, что, в принципе, есть возможность получить доступ и без использования червоточин, обойдясь установкой скиммера на сейф. Написав заметку об этом в местной стенгазете и сообщив о ней жителями других домов, я получил обвинения от одного специалиста в том, что занимаюсь глупостью. И при чём тут passwd, которым многие никогда не пользуются, в отличии от /usr/bin/sudo, который требуется постоянно.
	Ответить \| Правка \| Наверх \| Cообщить модератору