Newsgroup: it.comp.os.linux.sys
Titolo: azz.....mica facile

azz....mica facile implementare i servizio in chroot......
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 
e molte volte è pure inutile.. se non sei su FreeBSD

>
Perche'?
bye G.L.
-- 
- Renaissance, aka Gian Luca Sole -
Cit. « E' assolutamente evidente che l'arte del cinema
 si ispira alla vita, mentre la vita si ispira alla TV »
                                        (Woody Allen)

 se non sei su FreeBSD
Non vero.
Si esce anche da *bsd.
Consiglio sempre di riflettere sul fatto che un OS non e` una
_soluzione_, ma uno strumento. (ok, alcuni, nemmeno quello... :).
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
!!! THIS SIGNATURE HAS BEEN CENSORED !!!

 Si esce anche da *bsd.
e di jail che mi dici  ??
ciao ...
-- 
#include <stdio.h>
int main(void){char c[]={10,65,110,116,111,110,105,111,32,98,97,114,98,111,110,
101,32,60,104,105,110,100,101,109,105,116,64,116,105,115,99,97,108,105,110,101,
116,46,105,116,62,10,10,0};printf("%s",c);return 0;}

 e di jail che mi dici  ??
Che e` un ottimo lavoro, ma non e` la panacea, ovvero, si esce (con
maggior fatica), anche da jail() [*].
Ovviamente jail() e` molto meglio di chroot(), anche perche` chroot()
_non_ e` una struttura di sicurezza, ma e` nata con altri scopi
(l'escape per chroot() e` scritto nella man page).
Altrettanto vero, che ci sono un paio di patch che implementano se non
proprio jail(), qualcosa di molto vicino (sicuramente nelle patch di
grsecurity, e un progetto omonimo in sourceforge).
Infine, va da se che spesso jail() richiede un compromesso tra
disposizioni e necessita`. E di solito prevalgono le seconde,
indebolendo l'ambiente d'esecuizione della syscall.
Morale, fermo restando che jail() e` un ottimo oggetto (ma non e`
_esclusiva_ *bsd), il problema e` sempre dall'altro lato della tastiera.
:)
[*]
http://www.securiteam.com/unixfocus/5WP031535U.html
Ma e` solo un esempio. In questo caso venne sfruttato un overflow, ma
non una debolezza intrinseca di jail().


 indebolendo l'ambiente d'esecuizione della syscall.
e che dire di systrace?
-- 
Afterlife confessions
Tell me who you used to be
Looking on in wonder
As I show you it was me

 wrote:
grazie per le "delucidazioni" ...


 e che dire di systrace?
Uhm. Mi ricordano tanto le ACL di windows. Se ci smanetti davvero, alla
fine, e` piu` facile rendere il sistema inutilizzabile che il contrario
(e alla fine sassi via tutto).
In un progetto _molto_ ben pianificato, sono splendide, ma anche qui,
sotto linux, non mi pare che manchino alternative: tra capability,
rsbac, systrace stesse (ci sono, ovviamente patch), c'e` di che
annoiarsi. :)
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Jesus died for your sins. Make it worth his time.

 grazie per le "delucidazioni" ...
Ovviamente non e` molto piu` del mio punto di vista, salvo link o
riferimenti precisi. :)
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Always remember that you are unique.  Just like everyone else.

 Inviato via 
http://arianna.libero.it/usenet/
Prova con il lids .. č complicato ma da lě non esci neanche se ti spari.

 Prova con il lids .. è complicato ma da lì non esci neanche se ti spari.
ehm ... affermazione un pò pericolosa in informatica, se non sbaglio
l'ultimo fu muzio scevola che disse 'ci metto una mano sul fuoco !!' .....

On 3-01-2004 21:31, in article 
4uojc1-...@exnet.dbg.it
, "Giuseppe Della


Beh ... Diciamo che per uscire dal lids ( bachi a parte ) devi essere un
guru interplanetario ... Quindi poiché semmai ci saranno 1 o 2 al mondo che
ci riescono .. ( naturalmente se tutto è ben configurato .. )