Fedora 12 umožňuje instalaci balíků pod uživatelem

Nedávno uvedená Fedora 12 obsahuje bezpečnostní chybu umožňující neoprávněnému lokálně přihlášenému uživateli instalovat podepsané (signed) balíky do systému bez nutnosti zadání superuživatelského hesla. Někteří vývojáři toto nepovažují za chybu, ale za vlastnost, nicméně zakázání této "vlastnosti" je otázkou spuštění jednoho příkazu pod rootem (či uložení jednoho konfiguračního souboru), jak je popsánu v tomto zápisku. Informuje LWN.net.

19.11.2009 14:42 | David Watzke | Bezpečnostní upozornění

Komentáře

[David Watzke]

No nevím, nevím, mně se to nelíbí. Chtěl jsem původně napsat, že to je další Windowsalizace, ale pak mi došlo, že ani Windows tohleto nedovolej. Je to hrůza.

[gtz]

Záleží pouze jak jsou nastavená práva u Windows. Spousta správců i když je stroj v doméně nastaví lokálního usera jako lokálního admina, to je jen proto , aby nemusel ke každé ptákowině létat za FBU. Wydle chtějí pak jen potvrdit dialog. Pokud je nastavení na restriktivní doméně pak se nic nestane, vždy má právo doména.

[imploder]

Ve Windows, a to i ve Windows 7 (kde už i sama nápověda doporučuje vytvořit neprovilegovaného uživatele), má po instalaci uživatel plná práva a pokud si to nezmění, tak prostě pracuje jako administrátor pořád. Ve WinXP můžou být s neprivilegovanými uživateli problémy, systém na to není zařízený, stejně tak některé aplikace (hodí se na plochu automaticky jen tomu, co je instaluje, - tedy adminovi - atd.).

[michich]

Pouze lokálně přihlášeným uživatelům (těm samým, kterým umožňuje bez zadání hesla počítač vypnout, restartovat, uspat, připojit výměnná zařízení).

Polovina flamujících na fedora-devel, v Bugzille, na Slashdotu i na LWN.net vůbec nechápe, o čem diskutuje.

[belisarivs]

Takze kdyz se mama prihlasi na pocitac a v poste si precte mail, ze ji nekdo miluje a ze I_love_you.rpm vse vysvetli, tak tohle muze v klidu nainstalovat ackoliv k tomu normalne nema prava?

[David Watzke]

Ne, lze nainstalovat jen podepsaný balíky z povolených repozitářů.

[Luk]

I to může být ale problém. Může se třeba stát, že u balíku bude známa bezpečnostní díra, uživatel si tento balík nainstaluje a pomocí zveřejněného postupu (nebo třeba přímo skriptu) získá práva roota.

[Field]

Pokud máte nedůvěryhodné lokální uživatele, tak to vypněte. Na druhou stranu si tak poučený uživatel může opravit již nainstalovaný děravý balík, což by jinak musel dělat admin. Prostě dvojsečná věc, jako ostatně všechno, co opravdu k něčemu slouží.

[Luk]

Já proti této funkci jako takové nic nemám. Nepovažuji ale za vhodné, aby byla ve výchozím stavu zapnutá.

[Field]

Jde o to, že méně znalý uživatel pravděpodobně nebude vědět, co a kde zapnout, takže ho to omezí nebo povede k tomu, aby používal méně bezpečné možnosti. Vy si to na svých systémech jistě vypnout dokážete, takže pro vás to žádné omezení znamenat nebude...

[Luk]

Paradoxní je, že zatímco Microsoft směřuje k tomu, aby běžný uživatel nemohl implicitně dělat cokoliv (resp. aby obecně výchozí nastavení byla přísnější - třeba u IIS), tvůrci linuxových distribucí jdou přesně opačnou cestou a od bezpečného systému postupují k méně bezpečnému. Možná není daleko doba, kdy se začne malware přelévat z Windows na Linux. Doufám, že k tomu nedojde...

[biolog]

Není to třeba tím, že běžný uživatel IIS je profesionální IT, kdežto linuxové distribuce se snaží, aby jejich běžný uživatel mohla být i sekretářka?

[Heron]

To jako že profesionál nesmí instalovat software (je potřeba mu to co nejvíce stížit), ale sekretářka jo? To mi nepřijde jako moudrá myšlenka.

[Luk]

Ten IIS jsem zmínil jen tak navíc, jde o systém jako celek (stačí srovnat XP a Vistu).

[ed]

ako ficura to moze byt pekne, ale v defaulte by som to predsalen nechal vypnute.

[Martin]

Ak bude ten I_love_you.rpm podpísaný, tak áno.

[leko]

to by musel mat ten co to podpisuje pristup k privatnemu klucu, co je nerealne

[cadic]

a proc?

[pht]

Pouze lokálně přihlášeným uživatelům (těm samým, kterým umožňuje bez zadání hesla počítač vypnout, restartovat, uspat, připojit výměnná zařízení). Polovina flamujících na fedora-devel, v Bugzille, na Slashdotu i na LWN.net vůbec nechápe, o čem diskutuje.

No a "Assumption is the mother of all fuckups". Kdo zase ví o čem diskutuje, nepoužije tenhle přitroublý argument: "když mi může hrabat na vypínač tak už může všecko".

[michich]

Já netvrdím, že je to dobré výchozí nastavení (i když na domácí počítače si to tak asi nastavím i potom, co to hughsie dobrovolně nebo pod tlakem FESCo změní). Ale myslím si, že reakce "OMG!!! DÍRA JAKO PRASE!!!" jsou značně přehnané.

[pht]

Ale myslím si, že reakce "OMG!!! DÍRA JAKO PRASE!!!" jsou značně přehnané.

Reakce OMG jsou přehnané v jakémkoliv kontextu.

Já netvrdím, že je to dobré výchozí nastavení

A o tomhle jsem nemluvil. Mluvil jsem o argumentu "lokální uživatel může stejně všechno, takže".

[michich]

na domácí počítače si to tak asi nastavím i potom, co to hughsie dobrovolně nebo pod tlakem FESCo změní

Změnil to, tak jsem si to nastavil.

[Mrkva]

Co je přitroublého na tvrzení, že fyzický přístup=root přístup? (až na vyjímky, jako šifrovaný /)

[Luk]

Že to jednoduše není pravda. Většinu počítačů lze zabezpečit (což samozřejmě neznamená, že tak obecně zabezpečeny jsou) tak, že bez otevření skříně ani fyzický přístup k bedně nepomůže k root přístupu. A například u mého počítače lze pomocí visacího zámku snadno zajistit, že bez klíče lze skříň otevřít jen pomocí hrubého násilí (pily, sekery, krumpáče apod.). Ale i kdyby byl potřeba "jen" šroubovák, už je to někde úplně jinde, než když někdo u balíčku klikne na "nainstalovat".

[petr_p]

Navíc nové stroje mají TPM, takže bez pokročilého elektrotechnického náčiní (odposlech FSB) je i hrubé násilí k ničemu.

[Luk]

Netvrdil bych ovšem, že TPM je v tuto chvíli masovou záležitostí.

[pht]

Co je přitroublého na tvrzení, že fyzický přístup=root přístup? (až na vyjímky, jako šifrovaný /)

Tak znova a pomalu. Existuje sice pravidlo, že kdo má fyzický přístup, tak nakonec vyhraje. (A proti tomu Vám nepomůže ani posvěcený, natož šifrovaný disk.) To je ale vše. Nevyplývá z toho, že vyhraje okamžitě, a už vůbec že by se před uživatelem který stojí u bedny (což mimochodem softwarově nepoznáte) měl každý autentizační mechanizmus posadit na prdel a dovolit mu věci, které může jen správce.

A při vší úctě, že v tom zrovna figuruje nějaký policykit či co, který měl premiéru včera, a redhat, který má bezpečnost až na druhém místě již od dob redhat 4.0 (nikoliv rhel 4.0), tomu zrovna na důvěře nepřidává.

[imploder]

Je potřeba si uvědomit, že uživatel v systému není přímo ten člověk, co u toho sedí, ale fakticky je to veškerý kód, který spustil. Ten má ty práva a ten rozhoduje, jak s nimi naloží. Může dělat, co po něm ten člověk chce (tak to má být), ale může dělat i něco proti jeho vůli, pokud je to malware nebo nějaký "příliš vychytralý prográmek". Takže i když člověk žádné nekalé úmysly nemá, přesto může provést něco nežádoucího.

Program narozdíl od člověka nemůže vylézt z počítače a vzít šroubovák, páčidlo nebo kladivo a na počítač fyzicky zaútočit. V počítači nejsou skuteční lidé, jsou tam programy a lidé s nimi jen komunikují. Takže fyzický přístup (pro člověka) != root přístup (pro software).

[pht]

K tomu je potřeba přisadit, že preautentizace* je tudíž přirozeně nebezpečná věc.

* single sign on, nebo sudo "pamatující si heslo" po nějakou dobu, nebo ssh/gpg agent

[murzim]

It's not a bug, it's a feature

[imploder]

Taky jsem si téhle "featurky" všiml, myslel jsem původně, že jsem něco přehlídl a systém si heslo jen pamatuje. Je to asi problém, nejde jenom o uživatele, takhle mi cokoliv, co spustím, může nainstalovat plno programů, co nechci. Zase když je to jenom pro podepsané balíky (podepsané Fedorou? - je to neprůstřelné?), tak příjemnou vlastností je třeba když třeba zmíněná mamka si chce přehrát film a není nainstalovaný plugin, tak jenom zmáčkne tlačítko a ono se to do systému nainstaluje (pokud je to podepsané, tedy pro dané distro prověřené; k RPMFusion se taky importují podpisy, takže pak z něj takhle jde instalovat).

[pavlix]

Bylo by to fajn jako zaskrtavaci policko "uzivatel si muze doinstalovavat certifikovane programy", ne default :).

[dexík]

imho by bylo lepsi umoznit uzivatelum instalovat baliky jen do jejich ~ - kdyz uzivatel pusti yum install tak se jako root pouzije ~/apps - jasne bylo by kvuli tomu potreba vyresit/vycistit nemalo problemu

[pavlix]

Hehe :) na zacatku vety pouzivas "nejlepsi" na na konci "vyresit/vycistit" a "nemalo problemu" :).

To znamena, ze by to zrejme zase tak nejlepsi byt nemuselo.

[Poborskiii]

Pokud se nepletu, tak v Kubuntu 9.10 KPackageKit umožňuje nainstalovat jakýkoliv balík bez požadavku na zadání hesla a nějaký digitální podpis ho vůbec nezajímá.

[belisarivs]

Tohle mi prijde jako kravina.

Neni to nahodou tak, ze kdesu si pmatuje nejakou dobu helso, takze pokud spustis nejakou aplikaci s kdesu, tak spusteni kpackagekitu momentalne heslo nevyzaduje?

[Tomáš Bžatek]

kdesu (nikde ), gksudo, sudo, su a podobne veci se v techto pripadech vubec nepouzivaji. Zijeme ve svete PolicyKitu a SELinuxu, spousta zavedenych pravidel z minuleho stoleti uz neplati.

[pht]

Mně by zajímalo, co nového ten váš policykit přináší nad rámec těch "zastaralých" věcí.

[ed]

miliony zavislosti, bezpecnostnych dier, miest, ktore je potrebne strazit navyse

a stane sa to, ze software, ktory sa raz rozhodne policykit pouzit, uz bez neho najskor nikdy funkcny nebude... (viz prechod buleZ na D-BUS)

[pavlix]

No... to mi zni jako kecy... ne jako strizlive hodnoceni situace :).

[pht]

V tomto případě mám ale stejný pocit jako je obsah těch "keců". Všechny ty *kity jsou jen bloat, kterej se cpe kam může, rozmrdá co může, a nikdo není schopen vysvětlit k čemu to vlastně je (počínaje dokumentací, přes IRC, až zřejmě po tuto diskusi).

[David Watzke]

Nakonec teda dostali rozum a opravěj to.

[imploder]

Nejlepší by podle mě bylo tohle: - uživatel si balík může nainstalovat jakýkoliv, ale jen do svého domovského adresáře - na ostatní uživatele to nebude mít vliv (umožňuje tohle vůbec RPM? určitě by mělo, zkompilovat do ~/bin si taky můžu cokoliv, tak proč ne balík?) - možnost instalovat do systému (pro všechny uživatele, tj. instalace pod rootem) jen pro určitou skupinu uživatelů (tedy jako je třeba "vboxusers" by bylo "installers") a defaultně by v ní nikdo nebyl

[imploder]

Nejlepší by podle mě bylo tohle:

• uživatel si balík může nainstalovat jakýkoliv, ale jen do svého domovského adresáře - na ostatní uživatele to nebude mít vliv (umožňuje tohle vůbec RPM? určitě by mělo, zkompilovat do ~/bin si taky můžu cokoliv, tak proč ne balík?)
• možnost instalovat do systému (pro všechny uživatele, tj. instalace pod rootem) jen pro určitou skupinu uživatelů (tedy jako je třeba "vboxusers" by bylo "installers") a defaultně by v ní nikdo nebyl

[pht]

umožňuje tohle vůbec RPM?

Ano už od dávných dob (a vůbec jakýkoliv rozumný instalátor).

[l4m4]

Jenže software v balíku není relokovatelný, takže nainstalování rozbitého software do ~/.apps uživateli nepomůže.

[pht]

Co to meleš ty vořechu? Snad každej rozumnej soft dovolí cestu ke svému konfiguráku nastavit, a když ne tak zakročí chroot nebo nějakej jinej hack...

[ed]

lenze software nie je len binarka, zavislosti na knizniciach a konfiguraky, ale mozu to byt zdielane zdroje, doplnkove kniznice, moduly a binarky.

a ked je raz v programe napisane (hovorim o on demand loadovani, nie o dynamicky linkovanych knizniciach), ze modul loaduje z $LIBDIR$/aplikacia/modules/libmodul.so, tak po skompilovani balika s nastavenou cestou ku kniznicam na /usr/lib/ tie moduly z ineho miesta proste neloadne.

[imploder]

Právě to $LIBDIR je tam jako proměnná, aby se to dalo nastavit. Make se spustí s parametrem prefix, který tu proměnnou nastaví. Jak to funguje u binárních (tedy už hotových, zkompilovaných) balíků ale netuším.

[l4m4]

Chroot znamená nahardlinkování (v hroším případě nakopírování, protože /home je jiný oddíl) všech potřebných věcí do adresáře s programem. Toto lze skutečně do velké míry automatizovat, i když ani tak to nebude fungovat jen tak samo.

A kecy o nastavení cestě ke konfiguráku ukazjí na to, že jsi to nikdy v praxi nezkoušel pro nic složitějšího než Hello world (nebo sw který byl jako relokovatelný speciálně napsán), takže si je nech a vrať se, až to vyzkoušíš. Ano, větišnou to lze a je to spousta práce pro každý konkrétní program, protože se z něj de facto musí vytvořit relokovatelný.

[pht]

Zajímavá odpověď. "Rozumíš tomu jak koza petrželi ale ano máš pravdu."

[pavlix]

Hmm, na ty silny slova na zacatku... jsi vybral tak tezkopadny reseni, az to boli. Nechtel bych te jako spravce desktopu :).

[pht]

silná slova