Bizonyos parancsok kiadásának megtiltása usereknek. (globálisan)

es majd aszongya, hogy unalias w es keszen van. A letoltes ellen -noexec mount opcioval vedekezhetsz, ezt /home, /tmp -re ki kell adni, rendes helyen meg mashol ugysem irhat. Es a mar emlegetett chmod a megoldas. A hivatalos UNIX allaspont a restricted shell hasznalata, de ha a fenti megoldasokat nem szereted, akkor nem sok eselyed van ra, hogy korrekten be tudd allitani az rsh-hoz szukseges kornyezetet (kell restricted PATH hozza, es igy tovabb). En nem sok olyan embert lattam, aki jol be tud allitani rsh kornyezetet. Amugy meg hasznalj valami privilegiumokat kezelo kiegeszitest (mint pl. a mar emlegetett selinux, az tan jo hozza), de az felek nagy falat lesz :-)

> Aztán a többi védekezés majd jön sörben.

Ez teljesen hibás megközelítés. Felépítesz olyan védelmet, amit csak az nem lép
át, aki nem akar. És azt mondod, hogy ha majd átlépik, akkor folytatod. Parancsok letiltása, alias stb. irányba elindulni óriási hiba, ebben az irányban nem tudsz olyan védelmet felépíteni, amit ne lehetne pillanatok alatt áthágni. Beleölhetsz újabb és újabb energiákat, valahányszor megtudod hogy egy user kellően okos ahhoz hogy átlépje (btw honnan fogod ezt megtudni??? vagy abba a tévhitbe ringatod magad a nagyon szar védelmeddel hogy az jó?), hogy erősíts rajta, de ettől nem lesz jobb, csak te még nem látod, mert te sem látod magadtól, hogy hogyan lehet egy ilyen alias-os vagy hasonló buta védelmet átlépni.

A parancsok (például who) nem azért tudják azt, amit kiírnak, mert a rendszer kitüntetetten kezelné őket és csak nekik adnák oda ezt az információt. Azért tudják, mert a rendszer ezeket az információkat _bárkinek_ odaadja, a who történetesen csak egy parancs, amelyik némelyik ilyen infót begyűjti és megjeleníti. Ha letiltod, lesz másik amivel meg lehet nézni. Ha valaki csak egy shellt kap, és egyetlenegy külső programot sem indíthat, csak és kizárólag beépített shell parancsokat, akkor is le tudja kérdezni ezeket az infókat.

Ha használható védelmet akarsz, magát az információforrást kell megszüntetni, nem pedig a forrást kiolvasó/feldolgozó programot kiiktatni. El kell venni a jogot a /proc fájlrendszerről (kivéve saját processzek), a /sys-ről, ilyesmik... Réges régen voltak erre mindenféle kernel patchek, ki tudja azóta léteznek-e még vagy esetleg bekerültek-e a hivatalos kernelbe. Például a /proc fájlrendszernél asszem (ilyen patch esetén) mountolási opció hogy mi legyen a fájlok elérési módja és a csoportja, így például meg tudod csinálni, hogy csak egy kitüntetett csoport tagja tudják a /proc-ot úgy olvasni ahogy az alapból olvasható, a többi felhasználó csak a saját processzeinek könyvtárához fér hozzá.

Sajnos a Unixokat túl régen tervezték ahhoz, hogy ilyenekre gondoljanak. Security van benne (nem tudod mások fájljait írni stb.), de privacy már annál kevésbé (sok esetben nem tudod más felhasználók elől eltitkolni, hogy mit csinálsz). Biztos hogy be akarod engedni a usereket a gépre, adni nekik parancssort? Nem jó, ha letiltod a belépést, csak speciális (smb, ftp stb.) kapcsolatokat engedélyezel?

Mondjuk alias w='echo valami'

Ezt akartam en is javasolni. :)
Esetleg meg a PAM.

Viszont az rbash segítségével is tetszőleges fájlt ki tudsz olvasni, amit anélkül is tudnál. Például "ls /proc" helyett azt mondod, hogy "echo /proc/*", aztán mondjuk "cat /proc/1/stat" helyett meg azt, hogy "echo $(</proc/1/stat)". Máris semmi külső program, az rbash saját maga mutatja meg neked /proc alól amit csak akarsz. Innen kezdve tök ugyanazokhoz az információkhoz férsz hozzá, mint sima bash alól, maximum picit (sokkal) kényelmetlenebbül.

Olvasd már el, amit fentebb írtam a restricted shellről. Ha nem állítod be jól a PATH-t, simán kijön belőle. Pl. normál PATH-t kapok: _csak_ annyi a dolgom, hogy azt mondjam: sh
és máris készen vagyok. Azaz kell csinálni restricted könyvtárakat, abba belerakni olyan parancsokat amiket kaphat, ezt beállítani a PATH-ba, de ehhez tudnod kell, hogy melyik engedélyezett parancsnak vannak az rsh szempontjából fölösleges funkciói. Ha adsz vi hozzáférést, akkor azt mondom a szerkesztőben, hogy
:!sh
és kint vagyok. Ha adsz perl/awk/tcl/stb hozzáférést, kb ugyanennyi erővel lehet sima shell-t indítani. Szóval én nem ezzel indulnék el, már ha ilyen marhaságot akarnék csinálni.

+ nodev

ROTFL