Newsgroup: it.comp.os.linux.sys
Titolo: ClamFS/Fuse e ACL...

Stufo di usare l'accrocchio di libsamba-vscan avevo deciso di passare a
clamfs, scoprendo oggi che non sembra essere ACL-safe.
Per colpa di una prova improvvida inizale, avevo dato la colpa a ogni
possibile cosa fuorchè al vero colpevole, me misero, me tapino.
Ma la cosa è palese....
 gaio@neuromante:~$ df | grep srv
 /dev/cciss/c0d0p8    368544580 139597632 228946948  38% /srv
 clamfs               368544580 139597632 228946948  38% /srv/users
 gaio@neuromante:~$ id gaio
 uid=1000(gaio) gid=1004(ced) gruppi=20(dialout),24(cdrom),25(floppy),29(audio),44(video),46(plugdev),513(domusers),512(domadms),1004(ced),1102(webmaster),550(printops)
 gaio@neuromante:~$ getfacl /srv/users/MOVE/
 getfacl: Removing leading '/' from absolute path names
 # file: srv/users/MOVE/
 # owner: gabri
 # group: move
 user::rwx
 group::rwx
 group:ced:rwx
 group:diramm:r-x
 mask::rwx
 other::---
 default:user::rwx
 default:group::rwx
 default:group:ced:rwx
 default:group:diramm:r-x
 default:mask::rwx
 default:other::---
 gaio@neuromante:~$ ls /srv/users/MOVE/
 ls: impossibile aprire la directory /srv/users/MOVE/: Permission denied
 gaio@neuromante:~$ ls /srv/.users/MOVE/
 ADESIONI tecnici ortopedici.rtf
 ...
dove ovviamente la cartella 'fisica' /srv/.users/ viene rimontata in
/srv/users grazie a clamfs/fuse.
La cosa interessate è che le ACL sembrano essere 'processate' ma non
tenute in considerazione,. ovvero se io faccio:
	getfacl /srv/users/MOVE/
o
	getfacl /srv/.users/MOVE/
ottengo esattamente lo stesso risultato.
In questi casi, a parte picchiare violentemente la testa contro il
muro, che si fa?
-- 
  A: 
http://en.wikipedia.org/wiki/Top_post
  Q: Were do I find info about this thing called top-posting?
  A: Because it messes up the order in which people normally read text.
  Q: Why is top-posting such a bad thing?
  A: Top-posting.
  Q: What is the most annoying thing in e-mail?
  A: No.
  Q: Should I include quotations after my reply?

 un cretino ha scritto:
"Il microkernel e' morto da molto tempo ed ancora non lo sa." (cit. Bluff)

> muro, che si fa?
TZ> Si torna a libsamba-vscan se proprio è necessario.
Sei riuscito a compilarlo per samba 3.2? Io no... ;(((
-- 
  Chiedere a Gates come sviluppare le nuove tecnologie in Italia è come farsi
  spiegare da Berlusconi come promuovere il pluralismo dell'informazione.
  La risposta è semplice: «ghe pensi mi!»		(Pietro Folena)

 Sei riuscito a compilarlo per samba 3.2? Io no... ;(((
Non ci ho mai nemmeno provato. Evito come la peste la scansione antivirus su 
Samba.


 Samba.
Perche' no?
Capisco che i virus Linux siano preferibili, dato che praticamente non
esistono, ma quelli su samba sono molto piu` reali.

 Perche' no?
Perch� ritengo la scansione online su Samba un'inutile complicazione che da 
pi� problemi di quanti ne risolva e che � utile solo dove l'intera 
infrastruttura � progettata o gestita male.
Per quanto mi riguarda la scansione antivirus la deve fare il client Windows 
che DEVE essere dotato di antivirus sempre aggiornato e che non dovrebbe 
praticamente mai entrare in contatto con nuove infezioni, essendo filtrate 
sia la posta che la navigazione che l'accesso ad Internet con altri protocolli.
Il mezzo delle chiavette USB o dei CD infetti non � sufficientemente veloce 
per poter infettare una rete con minacce sconosciute ad un antivirus aggiornato.
Sul file server, giusto per precauzione, una scansione notturna prima del 
backup.


 aggiornato.
Lo sai benissmo che internet <<e' una tempesta, e prenderlo nel culo e'
un lampo>> (cit). Quest'anno ho gia' due eventi che rientrano in questa
casistica. E non stiamo parlando di piccole aziende manifatturiere o di
scuole con laboratorio informatizzato.
Fabio


Sï¿œ, ma in quel caso non ï¿œ che la scansione antivirus sul file server, specie 
se fatta con clamav che non ï¿œ proprio un mostro per l'aggiornamento delle 
firme, mitighi in qualche modo il problema.
Se un PC si ï¿œ infettato e l'infezione riesce a propagarsi lo fa a 
prescindere dalla presenza o meno dell'antivirus sul server. Sarï¿œ un po' 
all'antica ma penso che la sicurezza debba essere gestita centralmente ma 
che ogni nodo debba pensare alla propria protezione in tutto e per tutto.
Gli strati agguntivi di protezione centralizzata vanno implementati solo se 
oggettivamente convenienti, ovvero se i costi di implementazione, di 
gestione e le probabilitï¿œ di avere problemi valgono il quid di protezione in 
piï¿œ che offrono. Normalmente li vale l'antivirus sulle mail (anche se sempre 
di meno comunque) e l'antivirus sulla navigazione (questo sempre di piï¿œ) che 
sono due ambiti in cui l'impatto dell'antivirus ï¿œ normalmente ridotto e la 
probabilitï¿œ di bloccare minacce ï¿œ alta.
Su un file server Samba invece l'impatto ï¿œ pesante sia in termini di 
gestione che di performance e se ogni client ï¿œ ben configurato la 
probabilitï¿œ che qualche minaccia venga bloccata ï¿œ prossima allo zero. Il 
tempo che si perde per configurarlo ï¿œ meglio dedicarlo alla creazione di 
buone policy sui client, ed ad un sistema di content filtering efficace.


Mandi! THe_ZiPMaN
  In chel dì si favelave...
TZ> Perché ritengo la scansione online su Samba un'inutile complicazione che da 
TZ> più problemi di quanti ne risolva e che è utile solo dove l'intera 
TZ> infrastruttura è progettata o gestita male.
[...]
TZ> Sul file server, giusto per precauzione, una scansione notturna prima del 
TZ> backup.
... a dire il vero, in anni di utilizzo, mi sarà capitato uno o due
volte di beccare un virus tramite samba-vscan.
Quindi obiettivamente mi tocca darti ragione, e mi tocca darti ragione
anche sui 'problemi', visto i casini che tnde a fare con le mailbox,
che sono parecchio difficoltose da 'scansire'.
Prendo atto. ;)
-- 
  We have joy, we have fun, we have Linux on our Sun.

 firme, mitighi in qualche modo il problema.
[...]
Perdonami se ti ho fatto scrivere cosi' tanto, ma... sono d'accordo su
tutto. Il mio intervento era stremmente legato alla frase quotata, non
al contesto del thread. Forse avrei dovuto cambiare il subject :-)
Tra l'altro, non penso che clamav possa essere molto efficace usato in
questo scenario.
Fabio