Linux za Sve forum

Jedno pitanje, nevezano za konkretnu distribuciju. Sa dvojicom kolega dijelim jedan server, pri čemu sva trojica imamo jednaka prava (root preko sudo koji može sve). E sad, zanima me postoji li način da se ipak nekako ogradimo da jedan drugome ne možemo pregledavati home? Povjerenje uopće nije upitno, već je razlog zašto tražim nešto takvo činjenica da ne znam kako bi to izveo i nije baš da prihvaćam da se to ne može napraviti. Pa ako netko ima kakvu ideju, neka podijeli. Ne mora biti konkretno rješenje, može i nešto što u teoriji "drži vodu".

Unaprijed hvala!

jedino što meni pada na pamet je da si kriptiraš određene dijelove home-a svog accounta.. kriptiraš naravno sa nekim svojim passphraseom koji oni neće znati. ovako kako je trenutno ako sva trojica imate root ovlasti, lako se napravi chown/chmod i nakon toga otvori štagod.

eventualno da još pogledaš i chroot jail, ali mislim da to baš ne bi išlo budući da svi imate root ovlasti.

vrlo je nezahvalna situacija dijeliti root ovlasti s nekim i to se smatra vrlo lošom praksom.

Slazem se sa pootzkom... Root bi trebao biti samo jedan korisnik, tj. samo bi jedan korisnik sa naredbom sudo mogao raditi sve sto i root. Zbog cega sva trojica koristite root ovlasti? Ako svatko od vas radi odredjen dio administracije, odredjenim datotekama promijeni permissione tako da ih odredjen korisnik moze mijenjati bez root ovlasti. A ako pak su vam potrebne neke naredbe koje ne zele raditi bez root ovlasti, onda mozes te naredbe eksplicitno dozvoliti korisnicima da ih pomocu sudo pokrecu kao root, no to ne mora vrijediti za sve aplikacije, kao u tvom slucaju. Npr. mozes ostalim korisnicima zabraniti da kao root pokrecu naredbu chown/chmod/chgrp. Sve to podesavas u datoteci /etc/sudoers koju editiras iskljucivo pomocu programa visudo, a NE izravno. Za detalje pogledaj man sudoers.

pootzko je napisao/la:jedino što meni pada na pamet je da si kriptiraš određene dijelove home-a svog accounta..

Tog sam se već sjetio, ali ne funkcionira iz razloga što bilo kakav kriptirani disk s vremenom mora biti dekriptiran i mountan na neku točku. Jednom kada ga user otključa, rootu je opet sve dopušteno..

pootzko je napisao/la:vrlo je nezahvalna situacija dijeliti root ovlasti s nekim i to se smatra vrlo lošom praksom.

S ovime se u potpunosti slažem. Ne bih sada ulazio u pojedinosti zašto i kako ovo nije takav slučaj jer smatram da nije bitno za raspravu, već me zanimao onaj dio "može li se ipak". Meni je jasno da se to apsolutno protivi cijelom konceptu samoga sustava, svjestan sam kakve to probleme donosi, i znam kako se takve situacije efikasno zaobilaze (ono što je DoDo napisao. btw. tnx za trud). No opet, čisto me zanimalo što ako...

Mislim da bi se to sto trazis moglo postici pisanjem nekakve selinux politike.

drade je napisao/la:Mislim da bi se to sto trazis moglo postici pisanjem nekakve selinux politike.

Koju opet root moze ukinuti. Root je super user, on moze sve, njemu nista nije prikriveno, nista mu nije onemoguceno - on je svemoguc.

Zato odgovor na pitanje "moze li se ipak?" jest NE (osim u slucaju da rootu smanjis prava, ali onda on vise nije root, a prava mu ne mozes onda vise vratiti jer mu to moze vratiti samo root koji nema ta prava (paradox)).

DoDo je napisao/la:

drade je napisao/la:Mislim da bi se to sto trazis moglo postici pisanjem nekakve selinux politike.

Koju opet root moze ukinuti. Root je super user, on moze sve, njemu nista nije prikriveno, nista mu nije onemoguceno - on je svemoguc.

Zato odgovor na pitanje "moze li se ipak?" jest NE (osim u slucaju da rootu smanjis prava, ali onda on vise nije root, a prava mu ne mozes onda vise vratiti jer mu to moze vratiti samo root koji nema ta prava (paradox)).

Selinuxom mozes i root ovlasti ograniciti (particioniranje ovlasti nad sustavom), koliko je to pametno je sasvim druga prica. To se u selinux svijetu radi dodijeljivanjem user rola (strict i MLS politika).

Tako da je odgovor na pitanje OP-a: "DA, moguce je, tj. ipak se moze !".

[quote="drade"]
Selinuxom mozes i root ovlasti ograniciti (particioniranje ovlasti nad sustavom), koliko je to pametno je sasvim druga prica. To se u selinux svijetu radi dodijeljivanjem user rola (strict i MLS politika)./quote]

Naravno da mozes, no tko ima ovlasti stavljati ta ogranicenja i postavljati user role u selinuxu? Root? A ako rootu ogranicis ovlasti, tko onda moze mijenjati role? Nitko? Dobijes kompletno blokirani sustav u kojem nitko nis ne moze?

DoDo je napisao/la:

drade je napisao/la: Selinuxom mozes i root ovlasti ograniciti (particioniranje ovlasti nad sustavom), koliko je to pametno je sasvim druga prica. To se u selinux svijetu radi dodijeljivanjem user rola (strict i MLS politika)./quote]

Naravno da mozes, no tko ima ovlasti stavljati ta ogranicenja i postavljati user role u selinuxu? Root? A ako rootu ogranicis ovlasti, tko onda moze mijenjati role? Nitko? Dobijes kompletno blokirani sustav u kojem nitko nis ne moze?

Ne nuzno root, moze biti neki user koji na to ima pravo (opet kroz selinux politiku).

U njihovom slucaju dobro bi mozda bilo mati cetvrtu osobu koja ce biti arbitar i dodijeljivati ta prava prema njihovom zahtjevu.

Zakljucak je da je ono sto OP zeli moguce postici koristeci metodu navedenu gore. Stvar je samo kako to izvesti gdje su sve strane jednako zadovoljne rezultatom.

Postojao je patch za kernel kojim se moglo zabraniti root pristup /home/nešto i to se nije moglo onemogućiti sa root pristupom. Zaboravio sam kako se zove, kada se sjetim javim. Ono što možete je ukinuti korisnika root, te koristiti isključivo sudo sa pravilima da ne može koristiti vaš home folder.