[Sequanux-ml] SUDO et SUID

[Greg]

On Sat, 24 Jan 2004 13:49:39 +0100
Luc Pierret <luc.pierret at laposte.net> wrote:

> Salut à tous,

Salut,

> Meilleurs Voeux (avec retard si je ne l'ai pas fait)

Merci, à toi aussi :)

> Je viens de voir la question de tit john concernant le lancement de 
> prog  nécessitant d'etre root
> Je n'ai pas encore testé le SUDO mais que vaut et comment appliquer au
> plus sûr la solution SUID ?

La manière la plus sûre c'est de ne pas l'utiliser si on peut faire
autrement (utiliser sudo par exemple, même si ça peut avoir ses
limites).

Bon, nuançons un peu : le SUID-bit va permettre de faire tourner le
programme à ceux qui en ont le droit sous l'EUID de son propriétaire, on
est d'accords là dessus. Donc pour avoir une solution viable il faut
commencer à attribuer des droits à un groupe sur les applis SUIDées,
puis gérer les utilisateurs qui auront le droit de lancer cette appli
avec le bit SUID. Ça commence à devenir un peu le foutoir si on veut que
des utilisateurs normaux la lancent sans le bit SUID (pour un
interpréteur par exemple). Et la solution de la rendre exécutable en
tant que SUID par tout le monde c'est Mal©, car on ne peut pas faire
confiance à ses utilisateurs, ni ignorer que la machine est vulnérable
si connectée au net ou accessible d'une manière physique.

Bien, ensuite sudo n'est pas la panacée, mais au moins ça simplifie la
gestion des droits avec la possibilité de créer des groupes
d'utilisateurs, d'accorder différents privilèges, et de créer des
groupes d'applications (ça, c'est Bien©). En plus, sudo demande le mot
de passe de l'utilisateur qui veut se sudoer si n'a pas utilisé sudo
dans les 5 dernières minutes avec une authentification réussie.

Par contre, la page man de sudo est assez indigeste de prime abord AMHA,
mais en se concentrant 5 minutes ça va mieux, les yeux arrêtent de
piquer.

Bref, sudo c'est Bien©, ça évite les su intempestifs, mangez-en.

Greg