Newsgroup: it.comp.os.linux.sys
Titolo: firewall basato sul nome dell'eseguibile

 questo è già meglio, in 
pratica permette di specificare per ogni eseguibile a quali librerie può 
essere linkato e a quali risorse può accedere. Al momento però si 
dovrebbe configurarlo per ogni software e per ogni libreria, con il 
risultato che, a meno di spenderci sopra 100 ore di configurazione, non 
gira praticamente niente.
Sapete se esiste qualche altro strumento che permetta un controllo del 
genere?
-- 
Lorenzo `paulatz' Paulatto
Trieste
``Se Gauss fosse vivo oggi, sarebbe un hacker.''
      --Peter Sarnak (Princeton University)

 dell'eseguibile che cerca di uscire in rete.
-m ipt_owner --cmd-owner non va bene?


Lui sě, io sono troppo distratto :). Grazie


 Lui sì, io sono troppo distratto :). Grazie
Giusto per dovere di cronaca e considerato che le pagine di aiuto si 
concentrano sulle modalità "classiche", un paio di esempi:
Blocca i comandi che contengono "skype" (esempio /usr/bin/skype e 
~/bin/skype):
iptables -t filter -I OUTPUT 1 -m owner --cmd-owner skype -j DROP
Fa passare i comandi che contengono "firefox" (esempio firefox.bin):
iptables -t filter -I OUTPUT 2 -m owner --cmd-owner firefox -j ACCEPT


 iptables -t filter -I OUTPUT 1 -m owner --cmd-owner skype -j DROP
Giusto per dovere di cronaca, un filtro del genere lo freghi facilmente
rinominando l'eseguibile che si sta tentando di bloccare (e.g. se skype
viene bloccato, e firefox viene permesso, basta rinominare skype in firefox
ed il gioco e` fatto). Un filtro del genere sarebbe interessante se si
potesse mettere identificativo del processo non vincolante dal nome (e.g.
molti personal firewall, in Windows, si segnano l'MD5 del processo che
richiede il permesso di uscire su Internet)
Henryx

 ed il gioco e` fatto). Un filtro del genere sarebbe interessante se si
...
Pero' effettivamente ad un utente normale si potrebbe impedire di fare una cosa 
del genere, sicuramente di rinominare l'originale, magari anche di copiarselo in 
locale ed in ultima analisi di eseguire roba dalla sua home...
-- 
Faciait li signeur!
Roy Batty
http://www.allservice.it/

 genere?
provato a guardare 
http://www.nufw.org/
 ?

 * tc, quello che fa parte di iptables
tc è parte di iproute2.
Direi modulo owner di iptables (ovviamente, solo per pacchetti
generati localmente)
:
owner
       This module attempts to match various characteristics of the packet creator,  for  locally-generated
       packets.   It  is  only  valid  in  the  OUTPUT chain, and even this some packets (such as ICMP ping
       responses) may have no owner, and hence never match.
       --uid-owner userid
              Matches if the packet was created by a process with the given effective user id.
       --gid-owner groupid
              Matches if the packet was created by a process with the given effective group id.
       --pid-owner processid
              Matches if the packet was created by a process with the given process id.
       --sid-owner sessionid
              Matches if the packet was created by a process in the given session group.
       --cmd-owner name
              Matches if the packet was created by a process with the given command name.  (this option  is
              present only if iptables was compiled under a kernel supporting this feature)
-- 
Chaos A.D.		|	Raging crowd
Tanks on the streets	|	Burning cars
Confronting police	|	Bloodshed starts
Bleeding the Plebs	|	Who'll be alive?

 -m ipt_owner --cmd-owner non va bene?
Ops.
"I will read whole threads before posting again" :-/



in pratica dovresti negare l'accesso a scrivere qualsiasi cosa sulla tua
home directory... poiche' un file puoi scaricarlo da internet e
copiartelo nella tua home.
e chiaro che senza un MD5 del file (cosa che piu' o meno avviene con i
personal firewall di windows) quel tipo di firewall sarebbe inutile.
-- 
Massimiliano