|
|
<chapter id="security">
|
|
|
<title>&kppp; и безопасность</title>
|
|
|
|
|
|
<para>В основном этот раздел предназначен для суперпользователей (<systemitem>root</systemitem>), людей с высокими потребностями в безопасности и тех, кто просто интересуется безопасностью. Нет необходимости в прочтении этого материала тем, кто использует &Linux; дома, тем не менее, кое-какие знания можно почерпнуть и отсюда.</para>
|
|
|
|
|
|
<sect1 id="security-restricting-access">
|
|
|
<title>Запрет на доступ к &kppp;</title>
|
|
|
|
|
|
<para>Системный администратор может ограничить доступ на использование &kppp;. Существует два способа для достижения этого.</para>
|
|
|
|
|
|
<sect2 id="security-group-permissions">
|
|
|
<title>Разрешение на доступ на уровне привилегий группы</title>
|
|
|
|
|
|
<para>Создайте новую группу (назовите её, к примеру, <systemitem>dialout</systemitem> или как-нибудь в этом роде) и добавляйте в неё тех пользователей, кому разрешено использовать &kppp;. Затем наберите в командной строке:</para>
|
|
|
|
|
|
<screen><prompt>#</prompt> <userinput><command>chown</command> <option>root.dialout</option> <filename>/opt/kde/bin/kppp</filename></userinput>
|
|
|
<prompt>#</prompt> <userinput><command>chmod</command> <option>4750</option> <filename>/opt/kde/bin/kppp</filename></userinput>
|
|
|
</screen>
|
|
|
|
|
|
<para>Здесь подразумевается, что &kde; установлена в каталог <filename class="directory"> /opt/kde/</filename> и что новая группа называется <systemitem>dialout</systemitem>.</para>
|
|
|
|
|
|
</sect2>
|
|
|
|
|
|
<sect2 id="security-kppps-way">
|
|
|
<title>Запрет на доступ с непосредственным использованием &kppp;</title>
|
|
|
|
|
|
<para>С самого начала &kppp; проверяет, существует ли файл <filename>/etc/kppp.allow</filename>. Если такой файл существует, только перечисленные в нем пользователи могут использовать программу. Этот файл должен быть открыт для всех на чтение (но, конечно, <emphasis>НЕ</emphasis> запись.) Распознаваемыми являются только имена пользователей, вы не можете использовать <acronym>UID</acronym> в этом файле. Короткий пример:</para>
|
|
|
|
|
|
<screen># /etc/kppp.allow
|
|
|
# строки комментариев игнорируются,
|
|
|
# как и пустые строки
|
|
|
|
|
|
fred
|
|
|
karl
|
|
|
daisy
|
|
|
</screen>
|
|
|
|
|
|
<para>В приведённом примере только пользователи <systemitem>fred</systemitem>, <systemitem>karl</systemitem> и <systemitem>daisy</systemitem> могут использовать программу, а так же пользователи с <acronym>UID</acronym> 0 (нет необходимости добавлять суперпользователя в этот файл).</para>
|
|
|
|
|
|
</sect2>
|
|
|
|
|
|
</sect1>
|
|
|
|
|
|
<sect1 id="security-why-suid">
|
|
|
<title>У &kppp; присутствует <acronym>SUID</acronym>-бит. А безопасность?</title>
|
|
|
|
|
|
<para>Представляется невозможным написать программу дозвона без использования <acronym>SUID</acronym>-бита, безопасную и простую в использовании неопытными пользователями. В плане безопасности &kppp; использует следующую стратегию.</para>
|
|
|
|
|
|
<itemizedlist>
|
|
|
<listitem>
|
|
|
<para>Процессы программы &kppp; разветвляются в самом начале выполнения программы.</para>
|
|
|
</listitem>
|
|
|
<listitem>
|
|
|
<para>Основной процесс, ответственный за операции с <acronym>GUI</acronym> (такие как взаимодействие с пользователем), теряет бит <acronym>SUID</acronym> после разветвления и выполняется с привилегиями обычного пользователя.</para>
|
|
|
</listitem>
|
|
|
<listitem>
|
|
|
<para>Порождённый процесс сохраняет привилегии и отвечает за все действия, которым нужны привилегии <systemitem>суперпользователя</systemitem>. Для обеспечения безопасности этой части, в ней не используются вызовы библиотек &kde; и &Qt;, а только вызовы обычных библиотек. Исходный код этого процесса короток (около 500 строк) и хорошо документирован, его легко проверить на наличие дыр в безопасности.</para>
|
|
|
</listitem>
|
|
|
<listitem>
|
|
|
<para>Головной и порождённый процессы взаимодействуют согласно стандартному <acronym>IPC</acronym> (взаимодействие процессов) ОС &UNIX;.</para>
|
|
|
</listitem>
|
|
|
</itemizedlist>
|
|
|
|
|
|
<para>Особая благодарность выражается Harri Porten за написание этого замечательного участка программы. Задача казалась невыполнимой, но он сумел решить её за одну неделю.</para>
|
|
|
|
|
|
</sect1>
|
|
|
|
|
|
</chapter>
|
