Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Использование SSH поверх UNIX-сокета вместо sudo для избавления от suid-файлов, opennews (?), 20-Дек-23, (0) [смотреть все] Вот это да , Мухорчатый (?), 10:02 , 20-Дек-23, (1) +9 // На третий день Зоркий Глаз заметил что что у соседнего сарая был suid-ный б, Аноним (-), 17:35 , 20-Дек-23, (86) +6 Вот это действительно будет дырища, которая может ещё и не работать на некотором, Аноним (3), 10:07 , 20-Дек-23, (3) +20 // Развитие юникс архитектуры остановилось со смертью plan9 Вот и приходится изобр, Шарп (ok), 10:17 , 20-Дек-23, (4) +6 // А как же инферно , SODIX (?), 10:33 , 20-Дек-23, (6) +1 // А что мешает, ставьте версию для raspberry pi и играйтесь, chubakka (?), 13:14 , 20-Дек-23, (44) Вот именно что играйтесь А надо работать, и не послезавтра, уже вчера , Аноним (93), 18:05 , 20-Дек-23, (93) И результатом этих игрищ ожидается - что именно Более того - зависеть от 1 прои, Аноним (113), 22:01 , 20-Дек-23, (113) Никому не интересен plan9 Куда интереснее, что челу с тыренным ssh-ключом раньш, Аноним (3), 10:35 , 20-Дек-23, (7) +4 // Так себе аргумент Ничего не мешает иметь ключ с паролем для повышения привилеги, WE (?), 11:47 , 20-Дек-23, (23) +3 Пароли умерли, сейчас работает только многофакторка , НеАнонимЪ (?), 12:11 , 20-Дек-23, (28) –8 Но один из факторов - пароль Так что не умерли, а дополнились , Аноним (38), 12:41 , 20-Дек-23, (38) +10 Ничего они не умерли На машине обязан быть парольный аккаунт для rescue-нужд В, freehck (ok), 14:22 , 20-Дек-23, (55) +6 Поразвелось тут хайпонашек Еще анализы кала сдавайте блин для входа в систему , Аноним (-), 17:40 , 20-Дек-23, (88) +1 Они их уже на клавиатуру сдали , Аноним (103), 19:28 , 20-Дек-23, (103) +2 А ты в курсе что при генерации пары ключей, закрытый ключ можно запаролить И то, Аноним (30), 12:16 , 20-Дек-23, (30) +4 А ты в курсе, что есть методы увода ключей вот прям уже расшифрованных , Аноним (3), 18:19 , 20-Дек-23, (96) Так же как и введенный пароль из etc shadow можно увести Так что запароленый к, Аноним (30), 19:06 , 20-Дек-23, (101) Нафиг никому не сдались ваши ключи Эксплоиты на повышение прав гораздо надёжн, Аноним (115), 22:23 , 20-Дек-23, (115) Так там не пароли и хеши от них А если атакующий перехватывает ваш ввод - окей,, Аноним (-), 21:10 , 22-Дек-23, (139) Не знаю как здесь, но в KepassXC Yubikey служит вторым фактором защиты, т е над, Аноним (35), 12:34 , 20-Дек-23, (35) Скрыто модератором, Аноним (-), 17:47 , 20-Дек-23, (89) +1 И теперь sudo станет в 5 раз гиморнее - для легитимного админа Который будет ис, Аноним (113), 17:49 , 20-Дек-23, (90) –1 А кто запрещает разнести ключи для sshd, на который заходят из сети, и для sshd,, YetAnotherOnanym (ok), 15:17 , 20-Дек-23, (70) Да И это проблема А если бы был, то вместо облаков и кубернетесов просто писал, Аноним (93), 21:25 , 20-Дек-23, (108) Не, эту дичь так просто не изжить plan9 не поможет - модно-молодежные и сфер, Wakizashi (?), 15:57 , 21-Дек-23, (126) +1 Это не дичь, это результат того, что немодные и немолодёжные продолжают оберегат, Аноним (93), 20:38 , 22-Дек-23, (136) Не то чтобы дырища, если все сделать правильно Но вообще отличный способ подвес, Аноним (-), 17:39 , 20-Дек-23, (87) +1 Как Что-то пропущено Как Private ключ перенести правильно на флешку Кажется да, Аноним (3), 10:32 , 20-Дек-23, (5) // Заменю вам статью Подходит любой ключ с поддержкой FIDO2, даже самодельный Вста, BSDSHNIK (?), 11:01 , 20-Дек-23, (12) +1 https codeberg org KOLANICH Fuck-GuanTEEnomo, Аноним (17), 11:28 , 20-Дек-23, (17) // TL DR Майкрософт ворует лампочки в подъезде у автора , Аноним (93), 21:27 , 20-Дек-23, (109) +1 // Однако про конфликт интересов member of FIDO заинтересован в впаривании вро, Аноним (113), 22:04 , 20-Дек-23, (114) После этого не значит в результате этого Майкрософт, как один из основных участ, Аноним (93), 20:42 , 22-Дек-23, (137) Тем не менее лично я с гитхаба ушел, потому что такое навязчивое желания меня ос, Аноним (-), 21:16 , 22-Дек-23, (140) Никак не надо переносить Ключ генерится прямо на затычке, и половина закрытой ча, PnD (??), 11:29 , 20-Дек-23, (18) +3 // Ну вообще говоря для рутокена линуксовые дрова вполне себе есть и работают, Павел (??), 12:36 , 20-Дек-23, (36) +3 // Как обычно какой-то blob-only крап, вне ядра, без сорцов, которому надо на честн, Аноним (113), 21:58 , 20-Дек-23, (112) Rutoken ECP поддерживаются в OpenSC, никаких блобов и проприетарщины , Аноним (116), 23:25 , 20-Дек-23, (116) +1 Ну ок, это уже не позор-позор А сорц фирмвари там как, тоже дают Почему-то сам, Аноним (-), 21:21 , 22-Дек-23, (141) Сорц полустандартного OpenGPGCard тоже не доступен, лишь обрезок старого кода по, morphe (?), 20:06 , 23-Дек-23, (149) Выглядит как забор из костылей, при том непонятно ради чего Я так и не понял, ч, Аноним (8), 10:49 , 20-Дек-23, (8) +8 // Это тайный план заставить всех использовать флэшки А USB настолько дыряв, что т, Аноним (25), 12:00 , 20-Дек-23, (25) –1 теперь есть андройд, где понятие пользователя сильно изменено в нём каждая прог, Аноним (54), 14:21 , 20-Дек-23, (54) +1 // Можно dev режим врубить и анлокнуть систему бут Но вообще индеец правильно поня, Аноним (113), 18:43 , 20-Дек-23, (100) +1 Нет Лучше черес TCP который надо выставить в облако гугл или мигрософт это буде, Аноним (9), 10:50 , 20-Дек-23, (9) +6 // А давайте пусть systemd живёт в облаках , Аноним (38), 12:48 , 20-Дек-23, (40) +3 10 лет держу открытую вкладку терминала с su и в проде и на домашнем ПК без в, Аноним (10), 10:52 , 20-Дек-23, (10) +4 // Мда то что вы конкретно нафиг никому не сдались, это ничего не значит так чт, Аноним (31), 12:18 , 20-Дек-23, (31) +1 // А зачем нужен антивирус ну кроме тех, кто их продаёт Антивирус, он как вояка,, 1 (??), 15:04 , 20-Дек-23, (66) +1 а на что ещё делать ставку мелкомягкий доверия не внушает солярисы тоже буржуйск, Аноним (54), 15:21 , 20-Дек-23, (72) // Переезжайте в финку и будет всё разрабатыватся у вас Если что дойдёте ножками , Ivan_83 (ok), 15:37 , 20-Дек-23, (79) –1 А откуда ты знаешь, какой у него прод , YetAnotherOnanym (ok), 15:21 , 20-Дек-23, (73) С самого начала просто по ссш сам к себе и где нужно логинюсь под рутом su юза, Ivan_83 (ok), 14:59 , 20-Дек-23, (64) +2 Если я правильно понял, вместо отдельных суидных программ типа судо предлагается, Аноним (11), 11:00 , 20-Дек-23, (11) +3 // Да ВСё это решение выглядит как знатный геморрой с несуществующей выгодой , _oleg_ (ok), 13:29 , 20-Дек-23, (46) +1 Можно интегрировать функциональность suid в модифицированный sshd, попутно выкин, YetAnotherOnanym (ok), 16:34 , 20-Дек-23, (80) То есть документацию на ты SSH ни разу не читал, что там можно и что нельзя не з, Аноним (93), 18:17 , 20-Дек-23, (95) // Смелое заявление, требует подробностей В sudo можно ограничивать хост, группу, п, Аноним (128), 19:11 , 21-Дек-23, (128) // А вот и подтверждение моего тезиса о том, что админы локалхоста документацию не , Аноним (93), 20:50 , 22-Дек-23, (138) Это нужно шел пользователя чем то заменить Иначе, команды не ограничить , Sem (??), 07:31 , 23-Дек-23, (145) самое главное то и не раскрыто чем ssh-коннект под root безопаснее sudo ес, pfg21 (ok), 11:03 , 20-Дек-23, (13) +2 // Запускайте прогу тоже под рутом бгг Гори оно огнём, какая срамота , Alexey (??), 11:08 , 20-Дек-23, (14) // т е я запускаю скрипт по очистке какойлибо диры в глубине var www не под огран, pfg21 (ok), 11:20 , 20-Дек-23, (16) // что вы как маленький - от рута делаете sudo -u username ваш_скрипт, фф (?), 11:30 , 20-Дек-23, (19) тогда зачем мне прокладка в виде работающего sshd с socat под рутом с судо они , pfg21 (ok), 13:43 , 20-Дек-23, (50) +2 чтоб было люди старались, делали, а вы ненужно не надо быть такой букой, фф (?), 14:57 , 25-Дек-23, (150) ждем запихвание этих костылей в systemd , Аноним (20), 11:35 , 20-Дек-23, (20) +6 // Не шути так, а то тебя услышат и реализуют , Аноним (21), 11:37 , 20-Дек-23, (21) +2 // На Фре вообще не интересно , Аноним (59), 14:32 , 20-Дек-23, (59) Каждая программа должна быть слинкована с libsystemd, так победим , Аноним (30), 12:11 , 20-Дек-23, (29) // В 1990-х и 2000-х M , своим гетзефаком, победить не смогла, но теперь смогла воз, Аноним (38), 12:45 , 20-Дек-23, (39) –1 А QR код QR код будет встроенный А веб сервер , name (??), 11:45 , 20-Дек-23, (22) +1 // А ещё надо метрики экспортировать в промку и логи в ёлку , Аноним (41), 13:00 , 20-Дек-23, (41) +1 // Но все же нескучный rest апи должен быть сначала , нах. (?), 15:16 , 20-Дек-23, (69) +1 выглядит как фигня sudo пароль забывает через некоторое время, и даже получив д, хрю (?), 11:52 , 20-Дек-23, (24) +2 // В судо каждому пользователю можно прописать что он может запустить Можно разгра, Аноним (11), 12:02 , 20-Дек-23, (26) // Можно, но я не видел чтобы так кто-то делал для реального чела, а вот для запуск, хрю (?), 12:10 , 20-Дек-23, (27) // Конечно удобно - запускать все исходно из под рута Для очистки совести можно сб, Аноним (11), 13:19 , 20-Дек-23, (45) Ну для скриптов да Которые люди запускают Это для людей или нет , _oleg_ (ok), 13:29 , 20-Дек-23, (47) man 5 sudoers В примерах , Аноним (128), 19:15 , 21-Дек-23, (130) а мы гланды удалять научились через оппу автогеном Новое поколение пришло , нах. (?), 12:20 , 20-Дек-23, (32) +3 Ээээ sudo su - не, не слышал , Аноним (33), 12:31 , 20-Дек-23, (33) // Почему не sudo su su или не sudo su su su su su Чем простое sudo -i не ус, Аноним (43), 13:13 , 20-Дек-23, (43) +5 // Да можно и так А можно и просто su написать И sudo не нужен Я про степень нар, Аноним (33), 15:01 , 20-Дек-23, (65) Без этого сакрального заклинания на FreeBSD какой-то древней версии шелл неправи, Аноним (93), 21:39 , 20-Дек-23, (110) ok, googleбудет ли работать sudo -i если у пользователя shell nologin , dasd (?), 11:29 , 23-Дек-23, (146) Годнота При сборке софта из исходников может пригодится , Аноним (34), 12:31 , 20-Дек-23, (34) Не сочтите за офтопик Но определенно дежавю Знавал одного профессора В статью, nox. (?), 12:38 , 20-Дек-23, (37) +3 // Лет 10 назад из одной монопомии баги присылали - скриншот текстовой инфы с экран, хрю (?), 13:40 , 20-Дек-23, (49) // Люди из абстрактного для них буфера обмена вставили jpg-фрагмент в программе, ко, ишь (?), 14:28 , 20-Дек-23, (57) Опытный пользователь MS Office, Word, Excel А чем можете похвастаться вы , Электрон (?), 03:45 , 23-Дек-23, (144) Тимоти Равье Timothee Ravier из компании Red Hat, мэйнтейнер проектов Fedora S, Аноним (43), 13:12 , 20-Дек-23, (42) +3 // В документации к SSH, которую ты никогда не читал Впрочем, тебе на локалхосте и, Аноним (93), 18:20 , 20-Дек-23, (97) –2 // Невозможно эффективно ограничить шелл Самообман , Аноним (128), 19:20 , 21-Дек-23, (131) Автор и правда упорот и считает что suid надо менять на ssh facepalm , keydon (ok), 13:45 , 20-Дек-23, (51) // Он работу работает Что полезного сделали вы , Аноним (59), 14:30 , 20-Дек-23, (58) // Тоже работу работаю Но стараюсь работать хорошо, а не лишь бы работало как по, keydon (ok), 15:09 , 20-Дек-23, (67) // На риторический вопрос можно было и не отвечать , Аноним (59), 15:26 , 20-Дек-23, (76) Пока ты стараешься, кто-то делает , Аноним (93), 21:41 , 20-Дек-23, (111) uzer hvost home uzer ssh uzer_doasnyi localhost doas echo kokoko Проще для , Аноним (52), 14:05 , 20-Дек-23, (52) // alias chpok ssh uzer_doasnyi localhost doas chpok ps ax, Аноним (52), 14:08 , 20-Дек-23, (53) Доизолировались Кругом рута им подавай , Аноним (59), 14:25 , 20-Дек-23, (56) И как ограничивать команды, например, разрешить без пароля только определённые к, Ilya Indigo (ok), 14:33 , 20-Дек-23, (60) Давно известный метод Из минусов -- нельзя ограничить повышение привилегий конк, freehck (ok), 14:37 , 20-Дек-23, (61) +1 // Ну,вот,что вы тут за легаси топите Совсем непрогрессивный админ Закопать все с, Аноним (59), 14:55 , 20-Дек-23, (63) sudo использует ровно тот же pam стек уже тысячу лет , нах. (?), 15:22 , 20-Дек-23, (74) +1 // Проверил Однако да, был не в курсе считал, что sudo устроен гораздо проще Тогд, freehck (ok), 15:24 , 20-Дек-23, (75) +2 // так сразу ж написали - это очередной победитель суид бита пожаловал Вот огромны, нах. (?), 16:47 , 20-Дек-23, (82) +1 Еще он sudoedit использует Мы же жить не можем без постоянного редактирования ч, Аноним (-), 21:32 , 22-Дек-23, (142) // Ты же в курсе, что sudoedit запускает редактор от пользователя, а поднимает прив, Аноним (151), 23:40 , 26-Дек-23, (151) Почему нкльзя тогда просто использовать ssh , xxxxxxxxxxxxxxxxxxxxxx (?), 15:16 , 20-Дек-23, (68) Пора бы добавить ListenStream в сам sshd а не костылить прослойки inetd style , Ivan_83 (ok), 15:29 , 20-Дек-23, (77) В принципе, идея неплохая, только на сокете должен висеть не sshd, а новая софти, YetAnotherOnanym (ok), 16:39 , 20-Дек-23, (81) Я зашёл в эту статью и с первых строк начал искать слово docker Не нашёл Поэ, Аноним (-), 17:02 , 20-Дек-23, (84) –1 Предлагаю универсальный классический способ ухода от suid-бит в GNU Linux http, Аноним (85), 17:29 , 20-Дек-23, (85) // ЗЫ sudo не нужен Если пользователю надо сменить пользователя на root то есть ути, Аноним (92), 17:59 , 20-Дек-23, (92)   // dbus, policykit для выключения и прочего , Ivan_83 (ok), 20:10 , 20-Дек-23, (106)   // Это противоречит классической системе безопасности UNIX DAC, MAC, CAP INTEGRI, Аноним (92), 19:09 , 21-Дек-23, (127)   У меня правельно собранный GNU Linux, без dbus, policykit, systemd, JIT, PBF, , Аноним (92), 19:13 , 21-Дек-23, (129)   И страдать, как Тимоти Равье Никогда не надо, кроме ремонта Постоянно надо Для , Аноним (128), 19:47 , 21-Дек-23, (132)   // Это явно задачи суперпользователя Пишу с системы где даже у root нету таких пол, Аноним (135), 18:10 , 22-Дек-23, (135)   Там порылся мааааааленький фэйл code 1 Мнение разрабов дистрибутива groupadd w, Аноним (-), 19:50 , 23-Дек-23, (148) я пришел к похожему сценарию только с sudo и без systemd 1 есть простой user , glad_valakas (?), 17:59 , 20-Дек-23, (91) // Почему просто не использовать два входа в систему под двумя разными пользователя, Аноним (94), 18:10 , 20-Дек-23, (94) // не надо бояться человека с ружьем W W W suid бита это раньше хаксоры таким прогр, glad_valakas (?), 18:25 , 20-Дек-23, (99) +1 И механизм контроля кто, как и когда им пользуется , Аноним (128), 19:51 , 21-Дек-23, (133) Приплыли Одна половина комментирующих не понимает, что предлагается, вторая 8, Аноним (93), 18:25 , 20-Дек-23, (98) –2 // Мне казалось что суид программа - позволяет как раз обойти ограничения технологи, ыы (?), 19:22 , 20-Дек-23, (102) Скорее занимается таким замечательным делом, как имитирование работы Переливани, Аноним (125), 12:34 , 21-Дек-23, (125) Чудики тыр-тыр-прайзные держат по серверу с докером и вебмордой на каждую юникс-, Аноним (128), 19:54 , 21-Дек-23, (134) Рут без пароля из любой точки системы Видимо из соображений инклюзичности, чтоб, Аноним (107), 20:56 , 20-Дек-23, (107) Я написал программу, выставил ей suid, и нахрена мне все это,описанное выше , adolfus (ok), 01:00 , 21-Дек-23, (117) –1 Сдаюсь - Не знаю - почему это удаляет какой-то АВТОБОТ Да, и вот Михаил Шигор, Аноним (-), 01:29 , 21-Дек-23, (123) +1 // Потому что у мудобота бывают заскоки и последние несколько дней его плющило Ска, Аноним (-), 21:35 , 22-Дек-23, (143) 1,3,5,8,9,10,11,13,20,22,24,33,34,37,42,51,52,56,60,61,68,77,81,84,85,91,98,107,117,123

Сообщения

[Сортировка по времени | RSS]

	92. "Использование SSH поверх UNIX-сокета вместо sudo для избавле..."	+/–
	Сообщение от Аноним (92), 20-Дек-23, 17:59
	ЗЫ: sudo не нужен. Если пользователю надо сменить пользователя на root то есть утилита su. Обычному пользователю не надо выполнять команды с привилегиями. Если вдруг, всё таки, надо выполнить привелигированную команду обычному пользователю, например,  выключить/перегрузить комп, то для этого есть файл /etc/inittab (/etc/shutdown.allow). ЗЫЗЫ: Ах забыл, поцтеринг уже в некоторых, падших, дистрах успел удаллить /etc/inittab, (/etc/shutdown.allow) и /etc/security/capability.conf ? Тогда вместо предложенных костылей, можно просто выкинуть systemd, вернуть init, pam и использовать CAP. ЗЫЗЫЗЫ: Насколько понял мысли древних, уровень безопасности B3 как раз и подразумевает использование CAP для расширения безопасности MULTICS. Не давать всего рута, а только необходимый кусочек полномочий.
	Ответить | Правка | Наверх | Cообщить модератору

	106. "Использование SSH поверх UNIX-сокета вместо sudo для избавле..."	+/–
	Сообщение от Ivan_83 (ok), 20-Дек-23, 20:10
	dbus, policykit для выключения и прочего.
	Ответить | Правка | Наверх | Cообщить модератору

	127. "Использование SSH поверх UNIX-сокета вместо sudo для избавле..."	+/–
	Сообщение от Аноним (92), 21-Дек-23, 19:09
	> dbus, policykit для выключения и прочего. Это противоречит классической системе безопасности UNIX: DAC, MAC, CAP + INTEGRITY, AUDIT, ACCOUNTING. dbus, policykit - делает дыру для доступа минуя классичесические для UNIX системы безопасности. Ну и реализация от потеринга ... Подробнее: https://www.linux.org.ru/forum/security/15600248?cid=15622030 https://www.linux.org.ru/forum/security/15600248?cid=15600880 можно и предыдущие посты прочесть.
	Ответить | Правка | Наверх | Cообщить модератору

	129. "Использование SSH поверх UNIX-сокета вместо sudo для избавле..."	+/–
	Сообщение от Аноним (92), 21-Дек-23, 19:13
	> dbus, policykit для выключения и прочего. У меня правельно собранный GNU/Linux, без: dbus, policykit, systemd, JIT, PBF, ...
	Ответить | Правка | К родителю #106 | Наверх | Cообщить модератору

	132. "Использование SSH поверх UNIX-сокета вместо sudo для избавле..."	+/–
	Сообщение от Аноним (128), 21-Дек-23, 19:47
	> sudo не нужен. И страдать, как Тимоти Равье? > Если пользователю надо сменить пользователя на root то есть утилита su. Никогда не надо, кроме ремонта. > Обычному пользователю не надо выполнять команды с привилегиями. Постоянно надо. Для установки ПО, монтирования съемных устройств, настройки сети.
	Ответить | Правка | К родителю #92 | Наверх | Cообщить модератору

	135. "Использование SSH поверх UNIX-сокета вместо sudo для избавле..."	+/–
	Сообщение от Аноним (135), 22-Дек-23, 18:10
	>> Обычному пользователю не надо выполнять команды с привилегиями. > Постоянно надо. Для установки ПО, настройки сети. Это явно задачи суперпользователя. Пишу с системы где даже у root нету таких полномочий, а вы говорите задачи обычного пользователя. > монтирования съемных устройств, И обычным пользователем монтировать. кучу способов, хотябы в /etc/fstab прописать, или его поцтеринг вам тоже удалил? udev под рутом выполняется и правило можно добавить для автомонтирования своих флешек. > Для установки ПО Выше привёл ссылки на linux.org.ru где для установки ПО обычным пользователем используют dbus+polkitd - ад и израель. Уж лучше sudo держать. CAP может решить даную задачу тоже.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема