Речь шла о том, что с точки зрения безопасности между установкой из пакета и установкой в $HOME нет никакой разницы.
есть, причём огромная: при установки в /usr/ установщик работает с правами рута, и по своей сути исполняет от имени рута скрипты из этого пакета. Эти скрипты делают что хотят. Например могут SUID бит поставить на программу. Или ещё что-нибудь менее заметное, и не менее опасное. При установки в $HOME установщик работает с правами данного конкретного юзера, а следовательно, может сделать не больше, чем этот юзер.
А под какими правами он из usr выполняется? Бо дыры в флэше находят настолько регулярно-буквально каждую неделю. Да и в home никто не мешает ro на него поставить
не. RO не получится. Точнее бесполезно - вредоносное ПО может это снять.
Точнее даже, есть, но в обратную сторону: по умолчанию программа, установленная в $HOME, доступна пользователю для перезаписи, а в /usr -- нет.
по вашему умолчанию программа может создать файл в /tmp, который и выполнится. Файл в /tmp может сделать столько-же, сколько и программа. по вашему умолчанию также можно создать другой файл в home. короче - то, что программу в /usr не изменить - это просто некоторое преодолимое неудобство для гипотетического вирусмейкера. И да, можете смонтировать ~/bin как ro. И спать спокойно.
Речь шла о том, что с точки зрения безопасности между установкой из пакета и установкой в $HOME нет никакой разницы.
ладно. нет. согласен.
Вот и ставьте. И будет у вас РЕШЕТО через N дней. И вы дадите ему права рута, что-бы оно само свои дыры латало. Не? А как? Дадите права менять программы в /usr кому угодно? А чем это лучше home? Хуже. Ибо кто угодно - хуже чем кто-то определённый. Или вы будете ручками каждый день латать дыры во флеше?
drBatty, что Вы привязались к этому флешу? Во многих дистрибутивах проблема с ним решена просто: в репозитории есть пакет, в котором pre- или post-install скрипт качает с адобовского сайта архив и распаковывает куда надо. Где дыра? В неподписанном архиве разве что?
И потом, если даже держать флеш-плагин в $HOME, то браузер-то зачем туда же класть?
drBatty, что Вы привязались к этому флешу? Во мпногих дистрибутивах проблема с ним решена просто: в репозитории есть пакет, в котором pre- или post-install скрипт качает с адобовского сайта архив и распаковывает куда надо. Где дыра? В неподписанном архиве разве что?
И потом, если даже держать флеш-плагин в $HOME, то браузер-то зачем туда же класть?
в некоторых дистрибутивах после установки/обновления флэша выводят предупреждения и рекомендации типа: проприетарное решето, установил - ссзб, мы предупреждали; предохраняйтесь и разрешайте сие безобразие только для доверенных сайтов.
в gentoo флэш также качается с офф.сайта, в некоторых из версий получает вдогонку патч. вот и вся любовь.
что Вы привязались к этому флешу? Во мпногих дистрибутивах проблема с ним решена просто: в репозитории есть пакет, в котором pre- или post-install скрипт качает с адобовского сайта архив и распаковывает куда надо. Где дыра?
И потом, если даже держать флеш-плагин в $HOME, то браузер-то зачем туда же класть?
ответьте мне только на один вопрос:
Какие данные для вас имеют ценность?
Если единственное, что у вас есть, это ваш Debian Squeeze+, и ещё пара порнофильмов, которые всегда можно скачать ещё раз, то разговаривать нам попросту не о чём - ваша система неуязвима, и ей не страшна даже чугуниевая бомба :)
в некоторых дистрибутивах после установки/обновления флэша выводят предупреждения и рекомендации типа: проприетарное решето, установил - ссзб, мы предупреждали; предохраняйтесь и разрешайте сие безобразие только для доверенных сайтов.
Это как-то связано с тезисом о необходимости установки проприетарного решета именно в хомяк?
в ДРУГОМ хомяке, из которого не попасть в мой. Я флеш НЕ запускаю, и ФФ4 тоже НЕ ЗАПУСКАЮ. Потому флеш принципиально не сможет сделать скажем rm -rf ~мой_хомяк. Может только rm -rf ~свой_хомяк, но это не страшно.
У меня ФФ запускает система, через sudo. А Патрег следит за тем, что-бы в моей sudo не было-бы дыр.
в ДРУГОМ хомяке, из которого не попасть в мой. Я флеш НЕ запускаю, и ФФ4 тоже НЕ ЗАПУСКАЮ. Потому флеш принципиально не сможет сделать скажем rm -rf ~мой_хомяк. Может только rm -rf ~свой_хомяк, но это не страшно.
Оригинальный подход. Песочница не проще?
Ну или тупо запускать от другого юзера нормально установленный браузер?
Ну или тупо запускать от другого юзера нормально установленный браузер?
проще... А как он будет обновляться? Вы думаете, зачем мозилловцы туда обновлялку всунули? Которая в нормальной ОС никому даром не нужна, ибо весь софт и так сам обновляется. Весь, кроме этой гадости. Ессно, если не ставить флеш, то весь этот гемор не нужен - только что платил WM через Seamonkey от Патрика. Ему (браузеру) я доверяю как-то больше, чем НЁХ от адобы.
уж больно сложно из такой будет вылезти. Учитывая, что у вас есть только дырка во флеше, которую вот-вот прикроют... Это-же не shell в самом деле... Ну сможете вы последней дырой читать/писать файлы - а толку-то? Там и файлов нет, у этого юзера. Вам интересны мои системные файлы, которые любой читать может? Я и так вам расскажу - slackware-current. Читайте на здоровье ;)
ой, да ладно! на самом деле - sudo apt-get. Что на самом деле - /bin/sh НЁХ.
Почему НЁХ? Пакет из нормального вполне официального репозитория, можно сорцы скачать и посмотреть, если паранойя.
bash
$ aptitude show flashplugin-nonfree
Пакет: flashplugin-nonfree
Состояние: установлен
Автоматически установлен: нет
Версия: 1:2.8.3
Приоритет: необязательный
Раздел: contrib/web
Сопровождающий: Bart Martens <bartm@debian.org>
Размер в распакованном виде: 139 k
Зависимости: debconf | debconf-2.0, wget, gnupg, libatk1.0-0, libcairo2, libfontconfig1, libfreetype6, libgcc1, libglib2.0-0, libgtk2.0-0 (>= 2.14), libnspr4-0d, libnss3-1d, libpango1.0-0, libstdc++6, libx11-6, libxext6, libxt6, libcurl3-gnutls
Предлагаются: iceweasel, konqueror-nsplugins, x-ttcidfont-conf, msttcorefonts, ttf-dejavu, ttf-xfree86-nonfree, flashplugin-nonfree-extrasound
Конфликтуют: flashplayer-mozilla, flashplugin (< 6), libflash-mozplugin, xfs (< 1:1.0.1-5)
Заменяют: flashplugin (< 6)
Описание: модуль Adobe Flash Player для браузеров
Этот пакет загружает Flash Player с сайта Adobe. Flash Player представляет из себя модуль формата Netscape/Mozilla и в настоящее время поддерживает следующие браузеры: Mozilla, Mozilla-Firefox, Firefox, Iceweasel и Iceape. Кроме того Flash Player могут использовать Galeon, Epiphany, Opera и Konqueror (если установлен пакет konqueror-nsplugins).
ВНИМАНИЕ: При установке данного пакета Adobe Flash Player загружается с сайта www.adobe.com. Лицензионное соглашение для конечных пользователей Adobe Flash Player доступно на сайте www.adobe.com.
Сайт: http://wiki.debian.org/FlashPlayer
P.S. Препарировал скриптик. Он не только адобовский архив загружает, но и подписанный файл с контрольными суммами.
Точнее даже, есть, но в обратную сторону: по умолчанию программа, установленная в $HOME, доступна пользователю для перезаписи, а в /usr -- нет.
А под какими правами он из usr выполняется? Бо дыры в флэше находят настолько регулярно-буквально каждую неделю. Да и в home никто не мешает ro на него поставить
Под тем, кто запустил, конечно. От расположения бинарника и прав на него это ни коим образом не зависит.
Речь шла о том, что с точки зрения безопасности между установкой из пакета и установкой в $HOME нет никакой разницы.
есть, причём огромная: при установки в /usr/ установщик работает с правами рута, и по своей сути исполняет от имени рута скрипты из этого пакета. Эти скрипты делают что хотят. Например могут SUID бит поставить на программу. Или ещё что-нибудь менее заметное, и не менее опасное. При установки в $HOME установщик работает с правами данного конкретного юзера, а следовательно, может сделать не больше, чем этот юзер.
Об этом я тоже уже писал: в дистрибутивных хранилищах все пакеты подписаны. Поэтому в целом ставить оттуда в /usr/ безопаснее, чем откуда попало в $HOME.
Точнее даже, есть, но в обратную сторону: по умолчанию программа, установленная в $HOME, доступна пользователю для перезаписи, а в /usr -- нет.
по вашему умолчанию программа может создать файл в /tmp, который и выполнится. Файл в /tmp может сделать столько-же, сколько и программа. по вашему умолчанию также можно создать другой файл в home. короче - то, что программу в /usr не изменить - это просто некоторое преодолимое неудобство для гипотетического вирусмейкера. И да, можете смонтировать ~/bin как ro. И спать спокойно.
Это уже действительно мелочи. Основное было сказано выше.
да? в этой вашей бубунте исходник флеш-плеера адобы есть? дайте ссылку.
Вы будете читать, что Вам пишут?
В пакете - скрипт. GPLный. Его можно посмотреть, поправить и т.д.
Скрипт качает с адобовского сайта архив с плагином, качает со своего сайта подписанный файл с контрольными суммами к архиву. Распаковывает архив, проверяет контрольные суммы, пихает плагин в нужное место, делает нужные симлинки и т.п.
Теперь объясните, почему скачанный и установленный руками плагин надёжнее.
Пакет из нормального вполне официального репозитория, можно сорцы скачать и посмотреть, если паранойя.
посмотрел я на ваш костылик... впечатляет... только всё равно - НЁХ оно и есть НЁХ. Дыры в этом модуле ваш костылик не исправляет, и запускаете вы его со СВОИМИ правами. А значит, ему доступны ВСЕ ваши документы, в т.ч. и те, которые имеют права 600. Ибо для системы, адобава НЁХ == это вы.
посмотрел я на ваш костылик... впечатляет... только всё равно - НЁХ оно и есть НЁХ. Дыры в этом модуле ваш костылик не исправляет, и запускаете вы его со СВОИМИ правами. А значит, ему доступны ВСЕ ваши документы, в т.ч. и те, которые имеют права 600. Ибо для системы, адобава НЁХ == это вы.
Как это связано с тем, куда и как плагин установлен? Или, по-Вашему, я не могу запустить браузер от другого юзера? Или в chroot'е? Что меняется-то?
Речь шла о том, что с точки зрения безопасности между установкой из пакета и установкой в $HOME нет никакой разницы.
ладно. нет. согласен.
Вот и ставьте. И будет у вас РЕШЕТО через N дней. И вы дадите ему права рута, что-бы оно само свои дыры латало. Не? А как? Дадите права менять программы в /usr кому угодно? А чем это лучше home? Хуже. Ибо кто угодно - хуже чем кто-то определённый. Или вы будете ручками каждый день латать дыры во флеше?
Почему НЁХ? Пакет из нормального вполне официального репозитория, можно сорцы скачать и посмотреть, если паранойя.
да? в этой вашей бубунте исходник флеш-плеера адобы есть? дайте ссылку.
Прошу прощения, что Вы несёте??? Установочные скрипты все свободные; все они содержатся в _подписанных_ пакетах. Даже в non-free. А только они и выполнятся с правами рута. Сама установленная из пакета программа этими скриптами _никогда_ не запускается.
Об этом я тоже уже писал: в дистрибутивных хранилищах все пакеты подписаны. Поэтому в целом ставить оттуда в /usr/ безопаснее, чем откуда попало в $HOME.
поправочка - в СВОЙ $HOME. программу из /usr/ может запустить или кто угодно, или никто. Программу из $HOME может запустить только хозяин. Например я не могу запустить адобовский флеш плеер. Я могу только попросить систему его запустить. А сам - не могу. А система его будет запускать с иными правами, и этот плеер не будет иметь доступа к моим данным.
Прошу прощения, что Вы несёте??? Установочные скрипты все свободные; все они содержатся в _подписанных_ пакетах. Даже в non-free. А только они и выполнятся с правами рута. Сама установленная из пакета программа этими скриптами _никогда_ не запускается.
посмотрел. Да, там костылик, который права насильно меняет. И ещё подпись проверяет. Полезно, спасибо. Себе такой-же костыль сделаю :)
Почему с непонятного места? Официальный сайт мозилы.
у вас же debian gnu/linux, верно? а у этого дистрибутива только один официальный сайт: http://debian.org
upstream это официальный источник конкретного софта всегда, за исключением ситуации когда де-факто upstream'ом является дистрибутив. выбор чем и как пользоваться лежит на пользователе: в любом случае гарантии ты не лишаешься ввиду отсутствия оной (: при любой другой логике возникают интересные коллизии
Почему с непонятного места? Официальный сайт мозилы.
у вас же debian gnu/linux, верно? а у этого дистрибутива только один официальный сайт: http://debian.org
upstream это официальный источник конкретного софта всегда, за исключением ситуации когда де-факто upstream'ом является дистрибутив. выбор чем и как пользоваться лежит на пользователе: в любом случае гарантии ты не лишаешься ввиду отсутствия оной (: при любой другой логике возникают интересные коллизии
хорошая теория.
практика же свидетельствует, что как раз при попытках установить что-нибудь из upstream-а не то что коллизии, а самый настоящий бардак и получается.
так что, теоретики, вы, конечно, где-то там правы в этих ваших сферических вакуумах, но на практике официальным источником программ для дистрибутива debian gnu/linux является тот, что на сайте debian.org находится. других официальных источников разработчиками дистрибутива, увы, не поддерживается. dixi
всё же я не понимаю, зачем пытаться воссоздать вручную некий аналог чрута.
потому-что выполнить 2 лишние команды (adduser && visudo) куда как проще chroot'а. Для этого вашего chroot'а нужно решить Over9000 проблем, как то создать все необходимые ссылки налибы и т.д. Кроме того, придётся всё равно добавить юзера в chroot, ибо root может вылезти из чрута... Короче - множество лишних действий, и при этом безопасность не сильно лучше...
Почему с непонятного места? Официальный сайт мозилы.
у вас же debian gnu/linux, верно? а у этого дистрибутива только один официальный сайт: http://debian.org
upstream это официальный источник конкретного софта всегда, за исключением ситуации когда де-факто upstream'ом является дистрибутив. выбор чем и как пользоваться лежит на пользователе: в любом случае гарантии ты не лишаешься ввиду отсутствия оной (: при любой другой логике возникают интересные коллизии
хорошая теория.
практика же свидетельствует, что как раз при попытках установить что-нибудь из upstream-а не то что коллизии, а самый настоящий бардак и получается.
так что, теоретики, вы, конечно, где-то там правы в этих ваших сферических вакуумах, но на практике официальным источником программ для дистрибутива debian gnu/linux является тот, что на сайте debian.org находится. других официальных источников разработчиками дистрибутива, увы, не поддерживается. dixi
странно слышать это от сторонника так называемого Free Software, о дистрибутиве который GNU содержит в названии... I mean, где обещанная свобода собственно развития: читать, модифицировать, и пользоваться модификациями, если ты ограничен одним источником, и утверждаешь что ни одного другого нет и быть не может? ограничение *источника* софта, и в том числе источника исходников - с точки зрения свободы - это очень суровое ограничение.
