Dotaz: Jak zakázat čtení ale přitom povolit spouštění skriptu

[Jakub Lucký]

Mám bash skript ve kterém je uloženo několik citlivých dat, které by běžný uživatel neměl vidět (příkladem moje heslo na FTP).

Nejprve jsem mu zkusil nastavit zákaz čtení, ale výsledkem bylo Access Denied a jak jsem se později dočetl, je to právě kvůli tomu, že skripty potřebují r-x práva, aby mohli být spouštěny...

Je nějak možné heslo (obsah skriptu) uchovat skryté a přesto mít skript spustitelný pro všechny?

Odpovědi

[akomano]

Nešlo by načítať citlivé dáta z iného súboru so samostatne nastavenými právami, a použiť suid?

Ak sa teda nemýlim, tak suid funguje na vlastníka súboru, teda nemusí to byť nutne root.

[pht]

suid vam na skriptech nepobezi.

ad puvodni otazka: smirte se s tim ze kazdej kdo to bude moct spustit tak to heslo uvidi, i kdybyste ho schoval kdovikam. ve vysledku totiz staci pouzit strace a to heslo si precist. zkuste spis rozvest duvody ktere vas k tomuto reseni privadi a muzeme vymyslet neco lepsiho.

[Tomas]

Normálně bych Vám poradil binfmt_misc modul, který by mohl v tomto případě pomoci. Ale bezpečnostní problém s strace, na který poukázal PHT, je hodně vážný. Před použitím binfmt_misc to bude chtít další zkoumání. Mimochodem s tím strace to funguje i na normální binárky se suid?

[Michal Marek]

 

Mimochodem s tím strace to funguje i na normální binárky se suid?

Ne. Ale myslím, že pro tazatele bude lepší současná situace, než díra v suid binárce .

 

[miro]

Navíc to nebude odolné proti liveCD nebo připojení HDD k jinému stroji. IMHO je to cesta do pekel a chtělo by to otázku bezpečnosti pořešit úplně jinak (uživatelům jejich vlastní účet na ftp a jejich vlastní heslo nebo tak něco). Na takové to domácí žvýkání by šlo udělat jakýsi "wrapper skript", který by čistě jen spouštěl onen skript s citlivými údaji (bez práv ke čtení) a správně poštelovat sudoerrs.

[Jakub Lucký]

No, jak vidím, je s tím víc problémů než užitku...

Úvaha byla asi taková: mám skript, který udělá screenshot, uploadne ho na web a do clipboardu uloží odkaz... Chtěl jsem všem uživatelům (protože normálně notebook používám jen já), nabídnout možnosti tohohle skriptu bez nutnosti mít vlastní FTP, ale evidentně to nejde, pokud se neobjeví (jakože asi ne) nějaké schůdné řešení...

[Vantomas]

Co ten skript nekam umistit, dat mu prava pro cteni+spousteni jen jednomu uzivateli a ostatni uzivatele ten skript budou spoustet pres sudo s pravama onoho jednoho uzivatele?

[Josef Kufner]

...uploadne ho na web. Supr. Tak ten soubor posílej pomocí curl skrzt http post. Na serveru si napiš jednoduchý uploadovací skript (obyč formulář) a tvůj odesílací skript se bude autentikovat saltem přibaleným do hashe odesílaného souboru (nebo informací o něm) -- tím ověříš jak správnost přenosu, tak oprávnění k němu. Ve výsledku nebudeš mít žádné ftp, žádné heslo a pokud ten skript někdo zneužije, tak udělá jen to co mu ten skript beztak povoloval.

[Jakub Lucký]

jo, to je zajímavý nápad, jen se ten upload-skript.php ošetřit před všema možnýma .php, .phtml a .htaccess souborama apod...

Asi to nakonec udělám přes nějaký config file pro ten můj uploader, ale nápad je to dobrý...

Každopádně děkuji všem za tu zásadní informaci, že principiální řešení "utajení" obsahu skriptu vlastně neexistuje...

[Josef Kufner]

Jen taková poznámka... pokud heslo načteš z konfiguráku, tak pořád bude pomocí strace vidět...

[Jakub Lucký]

Jo, ale konfigurák bude mít každý svůj (něco jako .netrc)...

A kdo si straceuje vlastní proces, to je jeho věc...