Smíš pouze prohlížet

27.1.2006 10:57 | Přečteno: 2147× | Mohlo by se někomu hodit | poslední úprava: 27.1.2006 10:58

V aktuálním čísle LinuxEXPRESu se dočítám, že téma Linux a škola je pro čtenáře velmi atraktivní. Vzhledem k tomu, že sám ve školství pracuji a Linux sem tam někam protlačím, možná by mohlo někoho zajímat, jak se mi s pomocí jednoho speciálně upraveného linuxového serveru podařilo ve velkém stylu vyřešit jeden záludný úkol od šéfa.

Zadání úkolu

Již z mých minulých zápisů si mohl laskavý čtenář povšimnout, že provozujeme elektronický archív závěrečných prací našich posluchačů. Máme práce, ke kterým jejich autoři dali souhlas se zveřejněním na Internetu a ty jsou v současné době také dostupné (viz má prosba o otestování). Máme ale také práce, ke kterým souhlas dán nebyl – a takové práce nejenomže nemůžeme vystavit na Internetu, ale podle aktuálního výkladu autorského zákoníku je ani nemůžeme dát volně k dispozici studentům v tom smyslu, že by si mohli tato PDFka kopírovat a odnášet domů. Úkol zněl: smí si je pouze prohlížet!

Do hry vstupuje NX

Naštěstí jsem tou dobou objevil technologii NX pro vzdálený přístup k počítači v grafickém režimu vyvíjenou společností NoMachine a volně dostupný klon terminálového serveru na této technologii postavený – FreeNX. Vyčlenil jsem jeden starší server (Pentium III, 384 MB RAM), kde jsem nainstaloval Adobe Reader a FreeNX a vysdílel adresáře se závěrečnými pracemi. Obešel jsem všechny počítače v knihovně přístupné čtenářům a nainstaloval zde originální klienty ze stránek NoMachine. Ve výsledku to funguje tak, že čtenář na počítači v knihovně spustí klienta, ten mu automaticky na serveru spustí prohlížeč Adobe Reader, kde již si může čtenář otevírat a prohlížet dostupné práce v PDF. Nemůže si je však ukládat. Přesněji řečeno může, ale pouze na serveru a k těmto složkám se žádným jiným způsobem nedostane (doufám :)

Jak je to zabezpečeno

Zde je asi zapotřebí vysvětlit, jak přihlašování klienta k terminálovému serveru funguje. Veškerá autentizace (a je-li libo tak i celé spojení) probíhá s pomocí ssh; na serveru se vygeneruje dvojice certifikátů, privátní se rozdistribuuje na stanice a veřejný zůstává na serveru. Vtip spočívá v tom, že veřejný klíč obsahuje příkaz – cestu k programu, který se má spustit, pokud spárování klíčů proběhne v pořádku. Tím programem je nxserver – skript pro bash, který obsluhuje další požadavky klienta, tedy zejména ověření uživatelského jména a hesla, přípravu prostředí a spuštění agenta terminálového serveru pod tímto uživatelským jménem. Tím jsem nakousl další dva triky vedoucí k úspěchu – ověření uživatelského jména a hesla může probíhat vůči jiné databázi než při přímém přístupu na server via ssh, náš uživatel ctenar s heslem, které si může kdokoliv šikovnější zjistit z pracovních stanic, tak na serveru nebude ověřen při pokusu přihlásit se jinak než v prostředí nxserveru. No a konečně vhodnou úpravou skriptu nxserver lze docílit toho, že uživatel si vždy spustí jen a pouze prohlížeč Adobe Reader, ať už si v klientovi navolí cokoliv.
Snad není třeba podotýkat, že na serveru nechybí další obvyklé metody zabezpečení jako firewall, povolení přístupu jen z vybraných IP-adres apod.

Kde to má své mouchy?

Aby to fungovalo, uživatel ctenar musí mít právo zápisu ve svém home a ve složce tmp. Kdyby si dal někdo tu práci, může zaplnit přidělené diskové kvóty – inu škodí tím sám sobě.
Nelze také přehlédnout fakt, že dost často nejsou terminálová sezení ukončena korektně, nesmažou se dočasné soubory, některé procesy zůstávají viset v paměti – denně pouštěný skript čistka toto spraví.
Někdo může namítnout, že z uživatelského hlediska toto není zrovna komfortní řešení. Souhlasím, není. Pokud někdo zná něco lepšího, rád se nechám poučit. Stejně tak pokud někdo v mém řešení „nesmíš stáhnout“ vidí nějakou mezírku, budu rád, když si ji nenechá pro sebe.
Já mohu po téměř půl roce provozu konstatovat, že se nám toto řešení osvědčilo; server bez problémů zvládá desítky zároveň připojených uživatelů, kteří možná nejsou s omezeními spokojeni, ale jinak poslušně „pouze prohlížejí“.

       

Komentáře

[JiK]

nevim, mozna jsem uplne blbej, ale jak to ma jednou na monitoru, nemuze si udelat trebas screenshoty stranek? nebo vyfotit obrazovku, at uz mobilem nebo digitalem?

[xxx]

Screen shot asi udelat teoreticky muze, ale ulozi se mu to pouze do jeho ~ na serveru. No a s tim, ze si to nekdo ofoti digitalem asi nic udelat nejde, ale nadruhou stranu prohrabavat se hromadou jpegu by se mi opravdu nechtelo. :)

[#Tom]

On se ten snímek udělá spíše na počítači s NX klientem, v NX okně se mi to nikdy nepodařilo. Pokud má počítač s NX klientem monitor s velkým rozlišením, budou ty obrázky dokonce použitelné.

[Michal Vyskočil]

Ovšem nenapadá mě způsob, jak by se tomuto dalo zabránit. I kdyby existoval nějaký způsob, jak emitovat záření z monitorů tak, že by to foťáky nepobraly, vždycky si to můžeme opsat, ne ?

[Jiří Poláček]

To samozřejmě může, ale to vynaložené úsilí ... bereme to tak, že to odpovídá stavu, kdy si čtenář papírovou verzi práce donesl ke kopírce a kopíroval a kopíroval. Nám jde o to, abychom vyhověli zákonu – jestli jej pak porušuje někdo jiný je zase jeho věc.

[zde]

Proč to děláte tak složitě? Pokud šlo výhradně o to vyhovět zákonu, úplně by stačilo před otevřením PDFka na disk zobrazit redirekt s upozorněním že dokument lze pouze prohlížet, nikoliv volně šířit, a nechat usera odkliknout tlačítko "Souhlasím".

Je opravdu smutné že jako "přednos" vynášíte to jak vyhovět blbým zákonům.

[Jiří Poláček]

Kdyby to záleželo jenom na mně, tak to tímto způsobem udělám. Svůj příspěvek jsem nenapsal kvůli "blbým zákonům", ale abych ukázal střípek z toho, v čem mi Linux pomohl. A nevím jak vy, ale já mám vždycky radost, když mi Linux v něčem pomůže :)

[David Jaša]

Děkuji za tento blogspot, teď mám „důkaz“, že něco takového jde. ))

[Jiří Poláček]

Není zač. Vy ten důkaz na něco potřebujete?

[David Jaša]

Ano - chci dosáhnout toho, abych se ve fakultní knihovně mohl dostat k elektronickým skriptům (nová papírová se už nevydávají). Ta jsou po zaplacení* dostupná na intranetu, ale víte jak ... když jsou nejvíc potřeba, tak má studijní zavřeno...

* 100 Kč - teď nevím jestli na rok nebo nafurt.

[diverman]

privátní se rozdistribuuje na stanice a veřejný zůstává na serveru

Opravdu?

[Jiří Poláček]

Opravdu.

[diverman]

Já vždycky myslel, že privátní zůstává u vlastníka a veřejný se distribuuje dál.

[David Jaša]

Autentizuješ se na serveru svým privátním nebo veřejným klíčem?

[raistlin]

Co to je za blbou otázku?

Neautentizuji se na serveru, ale vůči serveru, a to je setsakra rozdíl. Soukromý klíč neopouští můj počítač.

[David Jaša]

Pointa byla jinde - „uživatelem“ je klientský soft, proto má privátní klíč.

[antonin chadima]

vitej v klubu vyvolenych

provozuje pres nx treba kontakt pro 100 osob

spousteni samostatneho okenka je fakt ficurka

akorat tomu je potreba dat outlookovskou ikonku

aby uzivatele nezmatkovali

---

no a jinde mam pres nx spousteno asi 150 windows vyukovych aplikaci

na samotnych windows to nechtelo vsechno chodit

neco pres dosbox nebo wine atd...

---

ale to pulnocni cisteni je docela potreba

sice to ted spoustim pres bash s nofork a po skonceni programu vsechno pokilluju ale i tak tam neco vzdy visi

[Michal Vyskočil]

Úkol zněl: smí si je pouze prohlížet!

Úkol zněl jasně, nesmí projet za žádnou cenu! Nebyl čas se rozmýšlet kdo je kdo. Takže vy jste ho ...? No jasně, dvě dávky!

[D-Evil]

LOL