Michael Knudsen wrote:
> On Wed, 3 Nov 2004, Martin Jørgensen wrote:
>
>> Kan jeg læse i en .history fil hvad han har lavet i terminal-prompten
>> eller hvad? Hvor ligger denne? Kan han køre os x programmer fra ssh på
>> sin windows-computer?
>
>
> Ja, men han kan blot slette den, inden han logger ud, eller han kan bede
> sin shell undlade at logge kommandoer.
Hvordan gør man egentligt det?
>> Hvordan beskytter jeg mig i det hele taget bedst?
>
>
> Hold dit system patchet og giv ham minimale privilegier. Gaa gerne dit
Hvordan giver jeg ham minimale privilegier? Jeg har gjort det i
opsætningen under "System Preferences" hvor jeg tilføjede ham som bruger
på pc´en (i den grafiske skal), men jeg tror kun det virker når han
logger ind grafisk på min computer... Hvilket jeg ikke engang ved
om/hvordan han kan med ssh... Jeg gætter på at han nu alligevel ikke kan.
> system igennem og fjern suid-bitten fra ting, du er sikker paa, du ikke
> bruger. Check permissions -- hold oeje med ting, hvor `other' kan skrive
> til (find / -perm -0002) etc. Standard hardening. Naar han skal have
> shelladgang, er der ikke meget mere at goere.
Shit... Den liste er ufatteligt lang... Mange ting under /Applications
ser vist ud på flg. måde:
drwxrwxrwx 3 standard admin 102 29 Jun 01:34 Firefox.app
Til dem som ikke kender mac os X-unix: Selvom "Firefox.app" ligner et
bibliotek er det egentligt et program, når man kører grafisk (det *er*
Firefox-browseren). Det er en "package" som man kan højreklikke på og
vælge "Show package contents" hvis man vil se underbibliotekerne, som
programmet indeholder...
-snip-
> Det bliver ret svaert at holde ham fanget i sit eget homedir; saerligt
> fordi han skal udfoere tonsvis af programmer, der ligger under /usr etc.
> Maaske findes der noget restricted shell-lignende, der kan opfylde
> dette, men jeg ville have meget fidus til det.
Øv...
> Hvis han ikke skal have adgang til /Users, kan du fjerne -r og -x paa
> dette for ham og hans gruppe, med mindre hans homedir ligger herunder.
Det gør det nemligt.
> Goer det dette, kan du _ikke_ fjerne -x, da han i saa fald ikke kan
> komme ind i sit homedir. Hvis det er nok, at han ikke kan se indholdet
> af /Users, kan du noejes med at fjerne -r for ham og hans gruppe.
Sådan ser det ud når man står i roden:
drwxrwxr-t 10 root admin 340 2 Nov 23:08 Users
Jeg er ikke helt med på hvordan jeg kan fjerne -r for ham og hans
gruppe. /Users er ejet af root som er i admin-gruppen, såvidt jeg
forstår. Ergo, har han r-t tilladelser. Hvis jeg fjerner read, så gælder
det for alle andre der ikke er i admin-gruppen, så det tror jeg jeg
lader være at pille med medmindre nogen har nogen gode ideer.
> Een ting undrer mig meget. Virkelig meget:
>
> Hvorfor giver du adgang til folk, du ikke stoler paa?
Jeg stoler da også på ham, men vil gerne være 110% sikker og gøre ham en
tjeneste samtidigt.
Det ene udelukker ikke at man tænker sig om ved at gøre sig de
fornuftige foranstaltninger der er nødvendige og sålænge systemet er
ordentligt sat op (tror jeg ikke det er nu), har jeg tiltro til at
systemet virker perfekt. Det er trods alt en Unix, ikke sandt? Jeg har
ikke før erfaringer med andre end mig selv på en unix/linux-maskine så
derfor spørger jeg. Systemet er jo beregnet til den slags, såvidt jeg ved.
Så enkelt er det. Det er der vel ikke spor underligt i?
Med venlig hilsen / Best regards
Martin Jørgensen
--
---------------------------------------------------------------------------
Home of Martin Jørgensen -
http://www.martinjoergensen.dk