From: Dennis Kjær Jensen <none@signout--signout.dk.lh.bsd-dk.dk> To: <none@bsd-novice--bsd-dk.dk.lh.bsd-dk.dk> Subject: Re: scp opsætning Date: Mon, 15 Sep 2003 12:17:17 +0200
> Hejsa.
>
> Jeg har derfor så brugt dagen i dag på at læse om rettigheder til
filer
> og mapper på
> http://www.freebsd.org/doc/en_US.ISO8859-1/books/handbook/basics.html
>
> Og det ser da også ganske smart ud. Problemet er det at jeg ikke gider
> til at give alle mine filer og mapper helt nye permissions (kan jeg
> måske blive nød til).
>
> Så jeg tænkte om man kunne lave en gruppe af brugerne som der kun har
> adgang til nogle meget få mapper, dvs de får tildelt sådan at de kun
kan
> læse/skrive de mapper som jeg efterfølgende giver dem adgang til. Det
> vil jo være ret besværligt hvis jeg skal sidde og rette /etc /var osv
> til, fordi at nogle få brugere skal have adgang til et par mapper på
> serveren. Så hvis man kan lave en sådan gruppe af brugere, hvordan
skal
> det så gribes an?
Nææh - hvorfor skulle du det?
Hvis du bare tilføjer en bruger mere og giver ham SCP adgang kan måske
nok læse de fleste filer i /etc. Og hvad så? Det udgør ikke ligefrem
nogen sikkerhedsrisiko at brugeren f.eks. kan se hvilke parametre du
starter sendmail med. Den eneste ting jeg lige kan der måske ville være
en lille smule kritisk er at han kan se de andre brugeres navne, men
hva' fa'en. Det gør jo reelt set heller ikke noget. /etc/shadow er
stadig ikke læsbar af ham, og dermed kan han ikke komme til at bryde de
andre brugeres passwords med mindre han virkelig bestemmer sig for at
spilde båndbredde på at forbinde sig til din server igen og igen.
Desuden står det i den daglige rapport som Hr Charlie Root sender til
dig hvis der er nogle brugere der har forsøgt at logge sig på systemet
med et ugyldigt password, så i værste tilfælde vil du blive opmærksom på
det efter maksimalt et døgn. Forudsat at du læser dine mails,
naturligvis. Og det gør man selvfølgelig som den ansvarsbevidste
systemadministrator man er, ikke? :-)
Jeg ville bare opreette en ny gruppe og give dem en mappe et eller andet
sted på serveren og lade den mappe have g+rw rettigheder. Det er som
sagt ikke den store sikkerhedsrisiko at brugerne kan læse de generelle
filer på systemet - langt størstedelen af dem kan de jo alligevel hente
fra freebsd.org
> Det skal nemlig være sådan at de kun har adgang til nogle meget få
> mapper og resten kan de slet ikke se. DVS de må end ikke gå længere op
> end det home-dir jeg har givet dem.
Tillad mig at spørge: Hvorfor?
> Håber jeg er nogenlunde forståelig.
Ditto
> MVH: Lasse Stig Thomsen
... Dennis
This archive was generated by hypermail 2b30 : Wed 15 Nov 2006 - 18:25:08 CET