[RISOLTO]Passare da root a user

[ponce]

scusa mario, mi quoto cosi' forse rileggendo capisci il senso dell'intervento

mario, mi sembrava chiaro: il senso e' che se la backdoor e' in un sorgente ti fottono perche' nessuno si controlla tutte le righe del configure/makefile.
...
in quel caso dando un semplice make da root, l'attaccante avrebbe avuto la shell aperta.

(se ti craccano un repository, ed esempi ne ho fatti, modificano i sorgenti che vogliono versioni stabili e non: comunque la 3.4p1 era stabile, p1 vuole dire portable version 1).

[Mario Vanoni]

scusa mario, mi quoto cosi' forse rileggendo capisci il senso dell'intervento

mario, mi sembrava chiaro: il senso e' che se la backdoor e' in un sorgente ti fottono perche' nessuno si controlla tutte le righe del configure/makefile.
...
in quel caso dando un semplice make da root, l'attaccante avrebbe avuto la shell aperta.

(se ti craccano un repository, ed esempi ne ho fatti, modificano i sorgenti che vogliono versioni stabili e non: comunque la 3.4p1 era stabile, p1 vuole dire portable version 1).

"portable version" incluso il tranello? Ottimo!

L'asino sei sempre tu, un sysadm incapace.

You must know what you do, old UNIX rule.
Devi sapere quello che fai, vecchia regola UNIX.

[Plaoo]

wow ho fatto un vero casino con questo mio topic, beh devo dire grazie a tutti, che sicuramente siete più esperti di me, ora non so provo un pò questo limitato e vedo.
comunque grazie a tutti delle numerose risposte.
ciao.

In questo forum siamo sempre così certo prova e se ti va bene (quasi sicuramente) scrivi [RISOLTO] nel thread

[ponce]

ok mario, tappiamoci le orecchie e facciamo "blah-blah-blah", mi sembra la soluzione giusta

[masalapianta]

Il problema, quando si fa tutto da root, non e' solo quello dei virus/trojan o di fare casini per inesperienza, ma anche di utilizzare applicazioni buggate che, nel caso peggiore, possono permettere a malintenzionati l'esecuzione remota di codice; sotto questo punto di vista non conta una fava l'esperienza e la bravura dell'utente, se ad esempio c'e' uno 0day su un bug non noto in un pezzo di codice che usa firefox per la gestione delle immagini jpeg, tu utente espertissimo/bravissimo/fighissimo/daventitreanniusorootemaiunproblema vai sul forum di slacky.eu e visualizzi un post il cui avatar e' una jpeg creata ad hoc per sfruttare un bufferoverflow del pezzo di codice di cui sopra facendo eseguire del codice malevolo come root al tuo firefox

Un sysadm che valga questa qualificazione,
non mette SW incerta sul sistema.
Kernel 2.6.28.1 secondo LKML e` buggy.
Greg KH ha pubblicato il 2.6.28.2,
se lo usi rischi, aspetta almeno 2.6.28.3.

Sei su un sistema UNIX che non conosci,
non ha ne more(1) ne less(1), solo pg(1).
Usa vi(1) ed esci ogni volta con
:q!
e non creerai mai problemi, ma leggi il file!

C'est la`, la petite difference entre
un sysadm ed un ut[eo]nt[eo] con permessi root.

mi ritrovo, ogni volta che ti rispondo, nell' imbarazzante situazione di una persona a cui dici "il mare e' bagnato" e ti risponde "sono le 9:30". Cosa ti devo dire? lo fai apposta a far finta di non capire quel che ti si scrive oppure realmente non lo capisci e mi devo armare di pazienza e spiegartelo passo passo, pur essendo cose banali?
Vediamo di rispiegartelo al meglio delle mie possibilita':
se un software ha un bug non noto, per il quale c'e' uno 0day, cosa c'entra l'essere un bravo sysadmin, piuttosto che mettere un kernel piu' stabile? il cielo e' blu, le donne sono incomprensibili e i software sono buggati; indipendentemente dalla bravura di un sysadmin i software sono buggati, lo capisci? indipendentemente da quale versione d'un software tu utilizzi, quella versione puo' essere buggata, lo capisci? se, e visti i precedenti e' un grosso se, hai capito quanto sopra, forse riuscirai a capire anche che, se un software ha un bug di sicurezza, lo sfruttare il suddetto puo' fare molti piu' danni se il software gira con euid 0. Io meglio di cosi' non so spiegartelo

[puzuma]

mi ritrovo, ogni volta che ti rispondo, nell' imbarazzante situazione di una persona a cui dici "il mare e' bagnato" e ti risponde "sono le 9:30".

Offtopic: masalpianta lascia perdere, Mario si è messo per l'ennesima volta in configurazione "io sono l'esperto, voi siete incapaci", questo topic può solo finire in flame chi ha aperto il thread ha avuto risposte esaurienti al suo quesito e ha preso la sua decisione, credo che questo basti

[Vito]

Siamo uomini,non divinità... l'errore è sempre possibile,anche alla mente più geniale.
Allora io dico: perchè rischiare?

Comunque nella mia "insignificante" (rispetto alle persone presenti nella community) esperienza nel mondo GNU/Linux consiglio sempre di NON usare l'utente root.

[aschenaz]

Siamo uomini,non divinità... l'errore è sempre possibile,anche alla mente più geniale.
Allora io dico: perchè rischiare?

Comunque nella mia "insignificante" (rispetto alle persone presenti nella community) esperienza nel mondo GNU/Linux consiglio sempre di NON usare l'utente root.

Che motivo c'è poi? Quando serve, cosa costa aprire una console e fare la cosa giusta?

Il bello del sistema GNU/Linux sta anche in questo: nel poter operare in tutta tranquillità...

[Vito]

Q: Quanti utenti normali scaricano e bruciano KNOPPIX 6.0 oggi?

ho l'esame di Analisi I in mezzo (se lo passo ho finito tutti gli esami del primo semestre!!) e sto aspettando di darlo per poi scaricare e "bruciare" il Dvd:
adoro Knoppix!

[NetNightmare]

"portable version" incluso il tranello? Ottimo!

L'asino sei sempre tu, un sysadm incapace.

You must know what you do, old UNIX rule.
Devi sapere quello che fai, vecchia regola UNIX.

Probabile pero' la mia unica domanda a un sysadmin capace e' ( ovviamente mi sto rivolgendo a te ) :

1 - Il tuo lavoro presuno sia mantenere il piu sicuro e stabili possibili i sistemi che amministri al meglio delle tue possibilita' ... partendo da questo presupposto non ritieni che "ignorare" ( nello specifico far finta di non sapere e non il non saperlo affato ) il "fatto" che utilizzare l'utente root sia una "leggerezza" che di fatto non tiene il tuo sistema piu' al sicuro ma anzi lo mette a rischio senza nessun motivo sia di fatto in contrasto con il motivo sopracitato ??

2 - Poi nella pratica della tua professione ritengo tu sia libero di fare quello che credi e' il tuo lavoro e la tua professionalita' che e' in gioco , ma da qui a consigliare a chi inizia ad utilizzare unix\linux di usare root perche tanto se sai quello che fai non ci sono problemi ... secondo me un po di strada ce ne corre.

Ovviamente e solo la mia opinione

Buona Giornata

[Mario Vanoni]

"portable version" incluso il tranello? Ottimo!

L'asino sei sempre tu, un sysadm incapace.

You must know what you do, old UNIX rule.
Devi sapere quello che fai, vecchia regola UNIX.

Probabile pero' la mia unica domanda a un sysadmin capace e' ( ovviamente mi sto rivolgendo a te ) :

1 - Il tuo lavoro presuno sia mantenere il piu sicuro e stabili possibili i sistemi che amministri al meglio delle tue possibilita' ... partendo da questo presupposto non ritieni che "ignorare" ( nello specifico far finta di non sapere e non il non saperlo affato ) il "fatto" che utilizzare l'utente root sia una "leggerezza" che di fatto non tiene il tuo sistema piu' al sicuro ma anzi lo mette a rischio senza nessun motivo sia di fatto in contrasto con il motivo sopracitato ??

2 - Poi nella pratica della tua professione ritengo tu sia libero di fare quello che credi e' il tuo lavoro e la tua professionalita' che e' in gioco , ma da qui a consigliare a chi inizia ad utilizzare unix\linux di usare root perche tanto se sai quello che fai non ci sono problemi ... secondo me un po di strada ce ne corre.

Avendo utenti anche intelligenti,
che pero` non svelano quanto sanno di informatica/sistemistica,
- tutti i codici sorgente sono solo leggibili da root
- i bin sono tutti chmod 0750, appartenenti a root
- quindi sui tuoi programmi nessuno puo` metterci mano
- stessa regola per kernel & co., anche importati

Certi directories hanno permesso chmod 0000
- illegibile a tutti tranne root, sono controlli/statistiche
- programmi embedded con chmod 4750 vi scrivono
- sono importanti per ricostruire errori/manipolazioni non riuscite
- se uno combina un guaio, riesci a risalire al colpevole
- ovviamente questi log sono conservati nel tempo

Quale sysadm come ti muovi se non sei root?

Se sei il sysadm del tuo PC privato e segui regole simili,
se usi il cervello e rifletti prima di <INVIO>/cliccare ...
Se sei un utente alle prime armi ... compili un kernel?
Non ti consiglio di fare tutto quale root all'inizio,
ma quando cominci a smanettare con kernel & co. ...

Non puoi confrontare UNIX/Linux con M$
sotto M$ sono gli utenti normali che raccolgono virus & co.,
gli amministratori M$ sono capaci quanto i nostri sysadm.

[masalapianta]

(cut di un'impressionante serie di corbellerie)

Se sei il sysadm del tuo PC privato e segui regole simili,
se usi il cervello e rifletti prima di <INVIO>/cliccare ...
Se sei un utente alle prime armi ... compili un kernel?
Non ti consiglio di fare tutto quale root all'inizio,
ma quando cominci a smanettare con kernel & co. ...

NO, NO e NO, la smetti di mettere in testa cose sbagliate ai nuovi utenti? Lanciare tutti i programmi da root e' oggettivamente un rischio per la sicurezza (ti ho spiegato gia perche'); questo e' un fatto incontrovertibile ed assolutamente indipendente dalla preparazione tecnica della persona in questione; chiaro? no? :

non e' una questione di bravura, non e' una questione di bravura, non e' una questione di bravura....
a prescindere dalla preparazione tecnica rimane sempre un problema di sicurezza...a prescindere dalla preparazione tecnica rimane sempre un problema di sicurezza...a prescindere dalla preparazione tecnica rimane sempre un problema di sicurezza...a prescindere dalla preparazione tecnica rimane sempre un problema di sicurezza...
farei anche un disegno se aiutasse, ma non so disegnare

[zoros]

Beh, insomma, finiamola !
non essere root è solo per lavorare al PC stando un po' più rilassati

[albatros]

Mario, quello che masalapianta sta cercando di dirti è che se tu usi l'account di root non per amministrare i tuoi computer, ma per usi comuni che non richiedono particolari privilegi (es. leggere la posta, navigare in rete, leggere un documento pdf, eccetera), nel caso che uno di questi programmi "applicativi" abbia un baco di cui nessuno si è ancora accorto, pur essendo rilasciato magari da mesi, se lo usi come utente normale le possibilità di far danno all'intero sistema sono molto minori che non se lo usi da root.
Riprendendo un esempio fatto da masalapianta, chi ti dice che non ci sia un baco di cui ancora nessuno si è accorto nell'ultima versione di firefox 2.x sfruttabile per eseguire codice arbitrario facendo aprire un'immagine o una url costruita ad hoc per sfruttare quella falla?
Magari l'immagine o l'url è stata postata qui su slacky o su qualche altro sito insospettabile, il cui server è stato magari compromesso in altra maniera, proprio lo stesso giorno in cui la falla di sicurezza è stata scoperta o comunque prima che venga rilasciata una patch per ovviare al problema.
Il fatto che possa capitare raramente non vuol dire che non possa succedere. Io guido piano, ma mi metto sempre la cintura di sicurezza perchè un incidente può sempre succedermi, per quanto attento possa stare e per quanto bravo possa essere alla guida.
Ho la patente da 15 anni e non mi è mai successo nulla, ma non per questo smetto di usare la cintura.

Visto che citi sempre le regole UNIX, se non erro fra queste c'è anche quella del minimo privilegio:
https://buildsecurityin.us-cert.gov/dai ... 1-BSI.html

[Mario Vanoni]

Ho la patente da 15 anni e non mi è mai successo nulla, ma non per questo smetto di usare la cintura.

Visto che citi sempre le regole UNIX, se non erro fra queste c'è anche quella del minimo privilegio:
https://buildsecurityin.us-cert.gov/dai ... 1-BSI.html

Alla guida sei solo un utente normale.

Quale sysadm (root) controlli prima
- la pressione dei pneumatici
- se le luci esterne funzionano
- se il triangolo di emergenza e` al suo posto
- se il livello dell'olio e` sufficiente ...
Alla guida ora sei root,
se fai un incidente, l'avresti fatto anche da utente normale.
Se dopo 500m una ruota e` sgonfia, legge di Murphy.

Quanto esposto sono soluzioni funzionanti da anni.
Se >23 anni sono corbellerie/leggende metropolitane ...

Il link e` interessante,
ma contro l'ignoranza non esiste rimedio,
solo soluzioni furbe di controllo per identificare il colpevole.