Solaris: skrytí cizích procesů před uživatelem (diskuse)

[©]

Hm, kdy uz tohleto budeme mit v jadre bez nutnosti patchovani!

[JiK]

Neni to trochu blbost, mit neco takoveho defaultne v jadru OS? myslim, ze videt cizi procesy je dobre trebas proto, ze se pripojim na server, pojede to extremne pomalu a ja si dam ps abych vedel, ze tam ma nekdo nejaky delsi vypocet, ktery zere CPU, a proto to budu brat jako normalni a nebudu buzerovat roota aby to resil.

Proto snad existuje ps, abych videl co na danem stroji bezi a choval se podle toho, ne?

[©]

Kdyby mi nejaky uzivatel napsal treba: "Jee, ty paris Enemy Territory!", pak by mi to bylo velmi neprijemne. Ja take necumim cizim lidem do bytu co delaji. Stejne se to IMHO ma mit i s prostorem na serveru. Je to prostor jako kazdy jiny. Nejlepsi by bylo, kdyby si kazdy mohl nekde v ~/.userspacerc nastavit neco jako: SHOW_MY_PROCESSES_TO_OTHERS="no". Mohl by se o to starat klidne i nejaky daemon, to uz je vec implementace. Ale melo by to jit. Kdyz mi nekdo cuci do okna, pak si zatahnu zaclony a mam klid. Kdyz prijde policie se soudni obsilkou (root), pak mam holt smulu. Tak to je a byl bych rad, kdyby to bylo stejne i ve virtualnim svete...

[VícNežNic]

Já bych to tedy přivítal. I ve FreeBSD to jde.

[©]

Tak, ted zbyva jediny dotaz: je tu nejaky kernel hacker, ktery by to zvadl rozumne implementovat a zaradit do Linuxu?

[©]

Jeste bych dodal, ze by nebylo od veci, aby se treba uzivatele navzajem VUBEC nevideli! Jsou situace, kdy je to proste nutne...

[Zdeněk Burda]

Pro běžného uživatele bych omezil /proc úplně na minimum (nebo i rovnou sebral). Nevidím důvod k tomu aby viděl informace o HW, ostatních procesech a podobně. Pokud něco takového potřebuje, tak mu potřebné oprávnění přidělí admin.

[©]

Zalezi na situaci. Nekde je dobre to explicitne zakazat u vsech a povolovat vyjimky, nekde explicitne povolit u vsech s tim, ze by si sami mohli o tom rozhodnout (procesy, zalogovani do systemu).

[Käyttäjä 11133]

To my chceš říct, že se mám kvůli všemu relogionovat na roota jo? Třeba když budu chtít na notebooku zjistit kolik mi ještě zbývá baterky.

[Zdeněk Burda]

Tak si při instalaci nastavíš, že uživatel m4r3k má mit taková a taková oprávnění a je to. Copak teď ses nepřidal do skupin cdrom, audio, video abys mohl vypalovat, poslouchat hudbu a užívat si 3D akcelerace?

[VícNežNic]

Na notebooku je samozřejmě smysluplné, aby přístup k informaci o tom kolik zbývá baterie měli všichni. Ovšem už není nutné, aby každý hloupý uživatel na serveru viděl kolik běží procesů, jak je zaplněná paměť, kolik je volného místa na disku…

Ne každý Linux beží na notebooku.

[Luboš Doležel (Doli)]

Ovšem už není nutné, aby každý hloupý uživatel na serveru viděl kolik běží procesů, jak je zaplněná paměť, kolik je volného místa na disku…

To mi přijde normální - tyto informace se uživatelům mohou hodit. Já bych zůstal u toho, že tyto restrikce by se do kernelu dodávaly až s patchsetem - na většině míst asi není takových omezení vůbec zapotřebí.

[Luk]

Spíš než patchset by se mi líbilo řešení přes LSM. Snad se ho jednou dočkáme...

[VícNežNic]

Jsem toho názoru, že už výchozí vanilla kernel by měl obsahovat možnost jak taková omezení vytvořit. Například SELinux zahrnutý v Redhetích produktech vypadá nadějně, ale integrace je slabá (takové ls -Z moc luxusní není) a leccos s tím zatím nefunguje. Kdyby něco takového bylo už ve vanilla jádře, dost by se tomu pomohlo.