O bezpecnosti a tak...

[Rudolf Cejka]

Ivan Doležal wrote (2003/11/02):
> 1. Zaobírám se myšlenkou pohrávat si více s jailem, k čemuž mě přivedl 

Ten dopis je dost dlouhý, tak nevím, jestli jsem něco nepřehlédl,
ale jail() bylo napsáno, aby jeden internetový provider mohl
nabízet svým zákazníkům, kteří na jeho strojích mají své webové
prezentace, přístup s právy roota - můžou si instalovat a spouštět
skoro co chtějí, včetně web serveru atd. Není sice dořešeno sdílení
procesoru v čase, ale to v praxi tak velký problém v tomto případě není.

> V době, kdy se člověk snaží běžet všechny služby na efemérních portech,
> každou pod extra uživatelem a posléze je přesměrovávat pomocí paketových
> filtrů, jen aby je nemusel startovat jako root

Ano, a dokud jsme zatím jen ve stádiu snahy, ale praxe je v mnoha
případech někde úplně jinde (tj. někdo možná má vše nakonfigurováno
a opatchováno dle potřeby, ale...), proč nevyužít možnosti, které
nabízí jail(), jako existujicí a dostupný workaround?

> kdy naše organizace oficiálně zrušila všechny FTP servery,

Hmm, tady má někdo hodně lehký život, co? :o) Taky bych chtěl žít
na Marsu :o) Vzpomínám si, jaké byly u nás starosti s pokusy o zrušení
telnetu a s těžkostmi v prosazování alespoň zákazu přihlašování
z počítačů bez přímého a reverzního záznamu v DNS. U nás to docela
šlo, ale jakmile někdo odcestoval do ciziny, krize krize krize...
Jednou jsem se snazil jednomu ze "správců" v cizině na dálku
vysvětlovat, že telnet není to pravé ořechové a že by se mohl
opravdu podívat, co že to ssh a reverzní DNS vlastně jsou... :o(
Prostě chuťovka - člověk se hádá a zbytečně ztrácí čas, a náš
student/zaměstnanec se k nám nemůže ani přihlásit :o(

> kdy železo na přiměřeně výkonný server je tak levné, že je podle mě
> robustnější extra nainstalovat pět strojů a každý může mít jádro přesně

Hmm. A co deset, co sto, co tisíc? A co se třeba podívat do některých
firem, jakou výpočetní techniku provozují? Školy mají svou existenci
zajištěnou, ale co organizace, které můžou udělat jeden chybný krok
a skončí krachem? Proč vlastně mít několik počítačů k něčemu, co zvládne
jeden a stejně ani tak nemá co na práci? A co údržba těch strojů?
A co spotřeba elektrické energie? A co prostorová náročnost?
A co klimatizace? A není třeba lepší použít nebo pracovat na lepším
operačním systému, který nebude tak citlivý na potřebu úpravy jádra
pro každou aplikaci zvlášť, a bude schopný provozovat služby tak, 
aby řešení bylo robustní a odolné? Na některou situaci je určitě lepší
mít těch pět strojů, ale znám i opačné situace.

>  obrazu aplikace (narážím např. na povolení bpf),

Když není zatím nic lepšího, aspoň ho nedovolím
používat aplikacím, které běží v jail()u :o)

> přinese mi jail něco zajímavého navíc?

Někomu ne, někomu ano ;o)

--
Rudolf Cejka <cejkar at fit.vutbr.cz> http://www.fit.vutbr.cz/~cejkar
Brno University of Technology, Faculty of Information Technology
Bozetechova 2, 612 66  Brno, Czech Republic