Features/ChrootedServices: различия между версиями
(Import from freesource.info) |
Ilis (обсуждение | вклад) Нет описания правки |
||
| Строка 1: | Строка 1: | ||
{{MovedFromFreesourceInfo|AltLinux/Features/ChrootedServices}} | {{MovedFromFreesourceInfo|AltLinux/Features/ChrootedServices}} | ||
== chroot == | == chroot == | ||
| Строка 11: | Строка 10: | ||
* после изменения <tt>/etc/resolv.conf</tt> или <tt>/etc/hosts</tt> необходимо выполнить команду <tt>update_chrooted conf</tt> (также отрабатывает при загрузке), чтобы обновить копии этих файлов в чрутах; без этого возможны проблемы вида "ping не работает" | * после изменения <tt>/etc/resolv.conf</tt> или <tt>/etc/hosts</tt> необходимо выполнить команду <tt>update_chrooted conf</tt> (также отрабатывает при загрузке), чтобы обновить копии этих файлов в чрутах; без этого возможны проблемы вида "ping не работает" | ||
* монтирование /var с noexec также [http://lists.altlinux.org/pipermail/sisyphus/2006-August/085164.html может] привести к проблемам с работой зачрученых сервисов | * монтирование /var с noexec также [http://lists.altlinux.org/pipermail/sisyphus/2006-August/085164.html может] привести к проблемам с работой зачрученых сервисов | ||
{{Category navigation|title=Features|category=Features|sortkey={{SUBPAGENAME}}}} | |||
Версия от 08:58, 24 декабря 2008
chroot
В ALT Linux существенная часть сервисов помещена в chroot, зачастую с пониженными правами (поскольку root в chroot -- вовсе не гарантия, что он оттуда не выберется). Даже libresolv выполняется в чруте. Это может быть неудобным в том плане, что пути сдвигаются (например, my.cnf живёт в /var/lib/mysql, добавляется сложностей с подключением дополнительных подулей или библиотек в чруте -- как-то к перловых Postgres или авторизационных к Postfix)... но обратная сторона медали в том, что если один из таких сервисов окажется проломанным, то в распоряжении атакующего будет гораздо меньше средств и привилегий для захвата всей системы.
При этом пакет chrooted обеспечивает использование хардлинков в случае, когда оригинальные файлы (конфигурация, библиотеки, бинарники) и чрут находятся в пределах одной файловой системы; впрочем, хардлинки менее безопасны, чем физические копии.
Следует отметить такие неочевидности:
- после изменения /etc/resolv.conf или /etc/hosts необходимо выполнить команду update_chrooted conf (также отрабатывает при загрузке), чтобы обновить копии этих файлов в чрутах; без этого возможны проблемы вида "ping не работает"
- монтирование /var с noexec также может привести к проблемам с работой зачрученых сервисов