Отправляет email-рассылки с помощью сервиса Sendsay

Linux: разрешение вопросов, перспективы и общение

Подписаться Бесплатный дискуссионный лист Подписчиков 997
←   Февраль 2005   →
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28


За последние 60 дней ни разу не выходила


Сайт листа: http://www.linuxrsp.ru
Открыт: 25-07-2003
Пре-модерация: Нет
Адрес для писем в лист: comp.soft.linux.discuss-list@subscribe.ru
Адрес модератора: comp.soft.linux.discuss-owner@subscribe.ru

Модератор
Фёдор Сорекс

Статистика

997 подписчиков
0 за неделю

Запуск серверных приложений в chroot'е

Доброго времени суток.

Переразбивал я тут недавно винчестер и соответственно переустанавливал Линукс...
Так вот больше всего времени у меня ушло на настройку серверных приложений. А
что обиднее всего - знаю, что все, что я сделал - временно, т.к. уже в начале
следующей недели в моих руках окжется свежий дистрибутив... И мысль мне в голову
пришла - а как бы это отделить серверные приложения от всего остального? Например,
выделить в разделе /home (ибо больше половины винчестера именно он у меня занимает)
отдельный каталог (какой-нить /home/server), перенести туда все серверные приложения
(на данный момент у меня это proftpd, postfix, pdnsd, apache, imapd, samba, musql,
ircd, не исключено, что в будущем список будет меняться) и запускать их в chroot'е.
Мало того, что это лишает гемора при переустановке системы, но еще и позволяет
значительно обезопасить собственные файлы (согласитесь, хорошо, если ни одно
серверное приложение не имеет доступа к личным файлам).

Так вот хотелось бы узнать - пытался ли кто-нибудь сделать подобное, как это
проще всего реализовать и какие могут встретиться подводные камни? На данный
момент есть мысли провернуть это приблизительно как в LFS, т.е. компилить требуемые
приложения самостоятельно по очереди, начиная с binutils, а потом написать скрипты
для запуска всей этой байды в chroot-окружении. Однако что-то мне подсказывает,
что должен быть способ проще... Может кто-нибудь что-нибудь подскажет?

Ответить  
Rygoravich
Sat, 5 Feb 2005 06:08:13 -0500 (#310714)

 

Ответы:

i386-redhat-linux-gnu)

On Sat, 5 Feb 2005 06:08:13 -0500
Rygoravich <rygoravi***@o*****.info> wrote:

А

голову

Например,

занимает)

приложения

musql,

chroot'е.

это

требуемые

скрипты

в принципе, штука полезная. сам не пробовал, но если бы решился, начал с
http://www.jmcresearch.com/projects/jail/

судя по описанию, это попроще будет, чем lfs

с уважением, александр баракин.

-*Название листа "Linux: разрешение вопросов, перспективы и общение";
Написать в лист: mailto:comp.soft.linux.discuss-list@subscribe.ru
Адрес правил листа http://subscribe.ru/catalog/comp.soft.linux.discuss/rules
Номер письма: 15670; Возраст листа: 561; Участников: 1333
Адрес сайта рассылки: http://www.linuxrsp.ru
Адрес этого письма в архиве: http://subscribe.ru/archive/comp.soft.linux.discuss/msg/310819

Ответить  
alexander barakin
Sat, 5 Feb 2005 12:47:27 +0200 (#310819)

 

On Sat, Feb 05, 2005 at 12:47:27PM +0200, alexander barakin wrote:

Я так понимаю, речь идет о jail окружении применяемом в BSD. Эта
"темница" гораздо лучше chroot окружения. Метод chroot меняет корневой
католог, на указаный перед запуском, взломщик получает доступ только к
тому что находится в этом же окружении. Но есть и минусы: приходится
либо собирать программы без использования динамических библиотек или
просто копировать их в тот же католог и chroot защищает только
файловую систему, оставляя незащещенными память, сетевые соединения и
системные вызовы. Например злоумышленник может получив доступ к системе,
модифицировать правила firewall'а или загрузить снифер для перехвата
паролей.
От этих недостатков свободен метод jail, который организует такое же
защищенное окружение, но при этом защищает память, сетевые интерфейсы и
системные вызовы. Правда для каждого такого окружения требуется
ip-адрес, кот используется этим окружением. Поэтому jail чаще используют
для создания виртуального компьютера, в котором работают службы...
Например можно создать несколько таких компьютеров (с разными сервисами)
которые будут взаимодействовать между собой не иначе как через сеть...
При этом проникновение в одно jail окружение ни как не повлияет на
остальные...
Если jail используется как раширнный вариант chroot то его настройка
производится аналогично chroot. Если использовать его для создания
виртуального компьютера, то возможно понадобятся исходники системы.

-*Название листа "Linux: разрешение вопросов, перспективы и общение";
Написать в лист: mailto:comp.soft.linux.discuss-list@subscribe.ru
Адрес правил листа http://subscribe.ru/catalog/comp.soft.linux.discuss/rules
Номер письма: 15677; Возраст листа: 561; Участников: 1333
Адрес сайта рассылки: http://www.linuxrsp.ru
Адрес этого письма в архиве: http://subscribe.ru/archive/comp.soft.linux.discuss/msg/310864

Ответить  
Anton
Sat, 5 Feb 2005 15:40:36 +0300 (#310864)

 

В сообщении от 1107610836 секунд после начала Эпохи Unix Вы написали:

Ядро защищает память, сетевые интерфейсы. Как с этими сетевыми интерфейсами
будет работать программа, зависит от нее. Но напомню что, сервис, совсем
необязательно должен работать с привилегиями суперпользователя.

Которые нынче дорого стоят... Лучше все таки сделать нормальное защищенное
ядро...

Ответить   Konstantin Korikov Sun, 6 Feb 2005 00:49:40 +0200 (#311102)

 

Доброго времени суток.

On Sat, 5 Feb 2005 15:40:36 +0300
Anton <za@p*****.net> wrote:

Спасибо за разъяснение, я еще немного почитал о jail в инете, нашел несколько
ссылок на реализацию подобного для Линукса, но для меня это уже слишком... Мне
бы чего попроще...

Кстати, по указанной ссылке, если я правильно понял речь идет все-таки не о сходной
с BSD jail вещи, а именно о chroot'е... Хотя в английском я слабоват, мог понять
неправильно... Продолжаю копать, о результатах сообщу.

Ответить  
Rygoravich
Sun, 6 Feb 2005 07:37:22 -0500 (#311169)

 

Доброго времени суток.

On Sat, 5 Feb 2005 12:47:27 +0200
alexander barakin <arizona20***@m*****.ru> wrote:

в

одно

Спасибо, скачал пакетик оттуда, буду пробовать... Если с доками разберусь...

Ответить  
Rygoravich
Sun, 6 Feb 2005 07:40:07 -0500 (#311167)

 

i686-suse-linux)

Hello, Rygoravich <rygoravi***@o*****.info>!

On Sat, 5 Feb 2005 06:08:13 -0500 you wrote:

Почему бы просто не скопировать настройки сервисов из старой системы в н
овую?
Если просто лень заново настраивать и не так важна безопасность.

Ответить   "B." Sat, 5 Feb 2005 14:22:05 +0300 (#310855)

 

Доброго времени суток.

On Sat, 5 Feb 2005 14:22:05 +0300
"B." <boff20***@m*****.ru> wrote:

Потому, что дистрибьюторы не очень-то заботятся о совместимости конфигов... Например,
модули апача могут кидать куда душе заблагорассудится, да и формат конфигов разных
версий ПО может отличаться... Если для некоторых сервисов такое прокатывает (например,
с постфиксом проблем у меня не было), то для samba, apache в любом случае повозиться
придется. К тому же лично я кучу всякого барахла (логи, корень apache и ftp и
т.п.) держу не там, где оно должно быть (т.е. в /var), а там, где мне удобнее
(т.е. в разделе /home, который не форматируется при установке дистрибутива, соответственно,
позволяет не думать о бэкапах), что создает дополнительные проблемы... Например
- лежат куча неотправленных постфиксом писем в /var/spool/postfix/defer, так
в случае установки дистрибутива они так и не будут отправлены, т.к. исчезнут
при форматировании соответствующего раздела а если бы этот /var/spool/postfix/defer
находился реально, например, в /home/server/var/spool/postfix/defer - такой проблем
ы не было бы... Ну а дополнительная безопасность, имхо, всегда приветствуется:).

Ответить  
Rygoravich
Sun, 6 Feb 2005 07:29:11 -0500 (#311171)

 

Rygoravich wrote:

Например,

разных

(например,

и

соответственно,

проблем

согласно FHS-2.3 для этих целей можно использовать /srv, что, насколько
мне известно, уже реализуется в SuSE Linux.

Ответить   Vasile Sun, 06 Feb 2005 12:01:24 +0200 (#311596)

 

On Sun, 2005-02-06 at 07:29 -0500, Rygoravich wrote:

Ну, а что мешает /var держать на отдельном разделе?

Ответить   Mon-hon-ri-moriancumer Mon, 07 Feb 2005 16:04:19 +0600 (#311834)

 

Доброго времени суток.

On Mon, 07 Feb 2005 16:04:19 +0600
Mon-hon-ri-moriancumer <monh***@m*****.ru> wrote:

Принципиальная невозможность предсказать заранее, как информация в тот или иной
момент будет распределяться между /home и /var... В смысле, при условии "правильного"
размещения каталогов для http и анонимного ftp, баз данных и т.п. Ну и плюс к
тому - где гарантия, что установленная система будет нормально работать без форматирования
раздела /var?

Ответить  
Rygoravich
Wed, 9 Feb 2005 10:04:41 -0500 (#313060)