Dotaz: proces v kontextu Roota

[Milos]

Mam zacatecnicky dotaz. Nekde ctu, ze napr.databazi bych nemel spoustet v kontextu uzivatele Root. Ovsem, pokud dany software nainstaluji a pak se spousti automaticky pri bootovani nebo ho spusti inetd (pokud je na danem portu pozadavek), pak vetsinou jede proces tohoto software pod Rootem (i skupinou zvanou Root). Je to jen vlastnikem binarniho souboru? Jak docilit toho, aby to jelo v kontextu nejakeho jineho uzivatele a jaka by mel mit obecne prava? Nebo co doporucujete? Diky za odpoved.

Odpovědi

[Jozef Vondrák]

Dobrý den stačí do skriptu napsat:
su - uzivatel -c "prikaz"
tím se příkaz spustí pod uživatelem "uzivatel".

[jbohac]

mnoho sitovych demonu ma primo v konfiguracnim souboru nastaveno pod kterym uzivatelem maji bezet (apache, squid, postfix, .......) - typicky jsou spusteni jako root, provedou co je treba pod rootem (napriklad bind na port <1024) a pak se prepnou na jineho uzivatele (protoze bezi pod rootem, maji na to pravo) U sluzeb poustenych z inetd (xinetd) se uzivatel nastavuje primo v inetd.conf (xinetd.d/...) - samotny demon inetd bezi pod rootem a tak ma zase pravo urcit pod jakym uzivatelem pobezi jeho synovske procesy... Dalsi moznost je nastavit pozadovaneho uzivatele jako vlastnika programu a pak u programu nastavit tzv. "setuid" bit (napr. prikazem chmod) - program se pak vzdy pusti s pravy sveho vlastnika. Nefunguje to na shell-scripty

[Milos]

Doporucujete mit databazi, apache apod. mit spusten v kontextu roota? Je nejake pro a proti?

[rat]

Nic by nemelo bezet pod rootem, neni-li to bezpodminecne potreba. Root by si nemel pod svou identitou ani cist postu, natoz provozovat apache atd. Takze jednoznacne PROTI.

[Hynek (Pichi) Vychodil]

PRO: Nemusis nic nastavovat, nic testovat, protoze pod rootem to muze vse. PROTI: Je tu riziko ze stejneho duvodu. Muze to delat neco spatne, nebo je tam bezpecnostni chyba, kterou nekdo zneuzije a pak muze delat vse.