|
|
|
|
|
<chapter id="security">
|
|
|
|
|
|
<title
|
|
|
|
|
|
>&kppp; и безопасность</title>
|
|
|
|
|
|
|
|
|
|
|
|
<para
|
|
|
|
|
|
>В основном этот раздел предназначен для суперпользователей (<systemitem
|
|
|
|
|
|
>root</systemitem
|
|
|
|
|
|
>), людей с высокими потребностями в безопасности и тех, кто просто интересуется безопасностью. Нет необходимости в прочтении этого материала тем, кто использует &Linux; дома, тем не менее, кое-какие знания можно почерпнуть и отсюда.</para>
|
|
|
|
|
|
|
|
|
|
|
|
<sect1 id="security-restricting-access">
|
|
|
|
|
|
<title
|
|
|
|
|
|
>Запрет на доступ к &kppp;</title>
|
|
|
|
|
|
|
|
|
|
|
|
<para
|
|
|
|
|
|
>Системный администратор может ограничить доступ на использование &kppp;. Существует два способа для достижения этого.</para>
|
|
|
|
|
|
|
|
|
|
|
|
<sect2 id="security-group-permissions">
|
|
|
|
|
|
<title
|
|
|
|
|
|
>Разрешение на доступ на уровне привилегий группы</title>
|
|
|
|
|
|
|
|
|
|
|
|
<para
|
|
|
|
|
|
>Создайте новую группу (назовите её, к примеру, <systemitem
|
|
|
|
|
|
>dialout</systemitem
|
|
|
|
|
|
> или как-нибудь в этом роде) и добавляйте в неё тех пользователей, кому разрешено использовать &kppp;. Затем наберите в командной строке:</para>
|
|
|
|
|
|
|
|
|
|
|
|
<screen
|
|
|
|
|
|
><prompt
|
|
|
|
|
|
>#</prompt
|
|
|
|
|
|
> <userinput
|
|
|
|
|
|
><command
|
|
|
|
|
|
>chown</command
|
|
|
|
|
|
> <option
|
|
|
|
|
|
>root.dialout</option
|
|
|
|
|
|
> <filename
|
|
|
|
|
|
>/opt/kde/bin/kppp</filename
|
|
|
|
|
|
></userinput>
|
|
|
|
|
|
<prompt
|
|
|
|
|
|
>#</prompt
|
|
|
|
|
|
> <userinput
|
|
|
|
|
|
><command
|
|
|
|
|
|
>chmod</command
|
|
|
|
|
|
> <option
|
|
|
|
|
|
>4750</option
|
|
|
|
|
|
> <filename
|
|
|
|
|
|
>/opt/kde/bin/kppp</filename
|
|
|
|
|
|
></userinput
|
|
|
|
|
|
>
|
|
|
|
|
|
</screen>
|
|
|
|
|
|
|
|
|
|
|
|
<para
|
|
|
|
|
|
>Здесь подразумевается, что &kde; установлена в каталог <filename class="directory"
|
|
|
|
|
|
> /opt/kde/</filename
|
|
|
|
|
|
> и что новая группа называется <systemitem
|
|
|
|
|
|
>dialout</systemitem
|
|
|
|
|
|
>.</para>
|
|
|
|
|
|
|
|
|
|
|
|
</sect2>
|
|
|
|
|
|
|
|
|
|
|
|
<sect2 id="security-kppps-way">
|
|
|
|
|
|
<title
|
|
|
|
|
|
>Запрет на доступ с непосредственным использованием &kppp;</title>
|
|
|
|
|
|
|
|
|
|
|
|
<para
|
|
|
|
|
|
>С самого начала &kppp; проверяет, существует ли файл <filename
|
|
|
|
|
|
>/etc/kppp.allow</filename
|
|
|
|
|
|
>. Если такой файл существует, только перечисленные в нем пользователи могут использовать программу. Этот файл должен быть открыт для всех на чтение (но, конечно, <emphasis
|
|
|
|
|
|
>НЕ</emphasis
|
|
|
|
|
|
> запись.) Распознаваемыми являются только имена пользователей, вы не можете использовать <acronym
|
|
|
|
|
|
>UID</acronym
|
|
|
|
|
|
> в этом файле. Короткий пример:</para>
|
|
|
|
|
|
|
|
|
|
|
|
<screen
|
|
|
|
|
|
># /etc/kppp.allow
|
|
|
|
|
|
# строки комментариев игнорируются,
|
|
|
|
|
|
# как и пустые строки
|
|
|
|
|
|
|
|
|
|
|
|
fred
|
|
|
|
|
|
karl
|
|
|
|
|
|
daisy
|
|
|
|
|
|
</screen>
|
|
|
|
|
|
|
|
|
|
|
|
<para
|
|
|
|
|
|
>В приведённом примере только пользователи <systemitem
|
|
|
|
|
|
>fred</systemitem
|
|
|
|
|
|
>, <systemitem
|
|
|
|
|
|
>karl</systemitem
|
|
|
|
|
|
> и <systemitem
|
|
|
|
|
|
>daisy</systemitem
|
|
|
|
|
|
> могут использовать программу, а так же пользователи с <acronym
|
|
|
|
|
|
>UID</acronym
|
|
|
|
|
|
> 0 (нет необходимости добавлять суперпользователя в этот файл).</para>
|
|
|
|
|
|
|
|
|
|
|
|
</sect2>
|
|
|
|
|
|
|
|
|
|
|
|
</sect1>
|
|
|
|
|
|
|
|
|
|
|
|
<sect1 id="security-why-suid">
|
|
|
|
|
|
<title
|
|
|
|
|
|
>У &kppp; присутствует <acronym
|
|
|
|
|
|
>SUID</acronym
|
|
|
|
|
|
>-бит. А безопасность?</title>
|
|
|
|
|
|
|
|
|
|
|
|
<para
|
|
|
|
|
|
>Представляется невозможным написать программу дозвона без использования <acronym
|
|
|
|
|
|
>SUID</acronym
|
|
|
|
|
|
>-бита, безопасную и простую в использовании неопытными пользователями. В плане безопасности &kppp; использует следующую стратегию.</para>
|
|
|
|
|
|
|
|
|
|
|
|
<itemizedlist>
|
|
|
|
|
|
<listitem>
|
|
|
|
|
|
<para
|
|
|
|
|
|
>Процессы программы &kppp; разветвляются в самом начале выполнения программы.</para>
|
|
|
|
|
|
</listitem>
|
|
|
|
|
|
<listitem>
|
|
|
|
|
|
<para
|
|
|
|
|
|
>Основной процесс, ответственный за операции с <acronym
|
|
|
|
|
|
>GUI</acronym
|
|
|
|
|
|
> (такие как взаимодействие с пользователем), теряет бит <acronym
|
|
|
|
|
|
>SUID</acronym
|
|
|
|
|
|
> после разветвления и выполняется с привилегиями обычного пользователя.</para>
|
|
|
|
|
|
</listitem>
|
|
|
|
|
|
<listitem>
|
|
|
|
|
|
<para
|
|
|
|
|
|
>Порождённый процесс сохраняет привилегии и отвечает за все действия, которым нужны привилегии <systemitem
|
|
|
|
|
|
>суперпользователя</systemitem
|
|
|
|
|
|
>. Для обеспечения безопасности этой части, в ней не используются вызовы библиотек &kde; и &Qt;, а только вызовы обычных библиотек. Исходный код этого процесса короток (около 500 строк) и хорошо документирован, его легко проверить на наличие дыр в безопасности.</para>
|
|
|
|
|
|
</listitem>
|
|
|
|
|
|
<listitem>
|
|
|
|
|
|
<para
|
|
|
|
|
|
>Головной и порождённый процессы взаимодействуют согласно стандартному <acronym
|
|
|
|
|
|
>IPC</acronym
|
|
|
|
|
|
> (взаимодействие процессов) ОС &UNIX;.</para>
|
|
|
|
|
|
</listitem>
|
|
|
|
|
|
</itemizedlist>
|
|
|
|
|
|
|
|
|
|
|
|
<para
|
|
|
|
|
|
>Особая благодарность выражается Harri Porten за написание этого замечательного участка программы. Задача казалась невыполнимой, но он сумел решить её за одну неделю.</para>
|
|
|
|
|
|
|
|
|
|
|
|
</sect1>
|
|
|
|
|
|
|
|
|
|
|
|
</chapter>
|
