Тест на безопасность: rm -Rf /*

[Фарватер]

В связи с тем, что появилась возможность работать от имени не-root пользователей, захотелось проверить, насколько теперь моя система будет защищена. Решил проверить таким тестом:

login newuser
rm -Rf /*

Как вы думаете, что после этого произошло? Экран погас, клавиатура на нажатия кнопок не реагировала.    Еще раз обращаю внимание: это не root, а самый захудалый пользователь!

Будем работать над этой проблемой. 

Заодно, мне стало интересно: есть ли среди нас смелые повторить это на убунте?      Сразу признаюсь - у меня не хватает мужества организовать такое побоище на своем компе с данными. Кому не хочется на убунте - предлагаю на чем-либо еще (на виндах, например  ).

[DdShurick]

 ОС TinyMe (разновидность Мандривы )
$ rm -Rf /*
следует длинный список из строк такого вида
rm: cannot remove ' имя файла ' : Permission denied
и всё, фокус не удался - факир был в стельку пьян
ИМХО. Убунту жалеть не надо - недостойна она жалости.

[Kazm]

ОС PuppyRus Linux 1.12
1. Загрузка с LiveCD с параметром puppy pfix=ram
2. Ничего не монтировал !!! 

через несколько сек. после выполнения команды и лазания по пунктам меню - полный стоп 
Ctrl-Alt-Bakspace - черный экран 

чувствую, что если бы загрузил пуп_сейв - побатон колбасыил бы весь раздел 

[Фарватер]

следует длинный список из строк такого вида
rm: cannot remove  имя файла  : Permission denied
и всё, фокус не удался - факир был в стельку пьян

То, что устройства остались на месте - это, конечно радует.
Сообщения Permission denied были посланы тем, что не удалено, а то, что удалено, кануло в лету молча - сами знаете, как оно бывает в юниксах. Так что, возможно, вы еще не досчитаетесь чего-то: это, как минимум, будут персональные файлы. Но, по сравнению с puppy, конечно, неплохо

через несколько сек. после выполнения команды и лазания по пунктам меню - полный стоп

это, наверное, отсутствие личных файлов аукнулось

Ctrl-Alt-Bakspace - черный экран 

А где наш терминал? Удалили!   

[DdShurick]

 Фарватер, вы абсолютно правы. Все личные настройки сдуло. Но только личные.
Сейчас хочу поставить эксперимент с Puppy. Установлю PuppyRus1.12 на hda2 для чистоты эксперимента, на hda1 уже установлены Pup301 и Pup398 , и они при загрузке "подковёрно" обмениваются новыми файлами. Создам save-файл, а потом rm -Rf..... и посмотрю, что останется.

[Фарватер]

Сейчас хочу поставить эксперимент с Puppy.

Не утруждайте себя - там все очень запущено, и результат известен наперед. 

[DdShurick]

 Да, результат получился вполне ожидаемый - абсолютно пустой раздел, но мне это и было нужно. Зато посмотрел на великое "Unix-проклятье" в действии и заодно выкинул из головы одну глупую идею - каждому юзеру по save-файлу. Но тут же на её место пришла другая, в стиле дяди Билла, или "прячьте спички от детей" - спрятать консоль, точнее сделать вход в консоль через отдельный пароль "для посвящённых". ИМХО - для офис-варианта это будет просто необходимо, да и проще не придумаешь.

[Фарватер]

глупую идею - каждому юзеру по save-файлу

Вот вот! Видите, как важно и нужно нормальное многопользовательство!

в стиле дяди Билла, или "прячьте спички от детей" - спрятать консоль

А по-моему, стабильность, надежность и безопасность юниксов начинается именно с консоли: то, что работает в консоли - работает везде.

[DdShurick]

А по-моему, стабильность, надежность и безопасность юниксов начинается именно с консоли: то, что работает в консоли - работает везде.

Так с этим никто и не спорит. Я не про программы, а про "человеческий фактор", дураков у нас хватает, особенно на работе. "Что бы натворить, лишь бы не работать", и если готовить Puppy к серьёзной работе, то нужно предусмотреть не один уровень "защиты от дурака". Надёжность - это отсутствие поломок, а сломать легче всего покопавшись внутри.

[Фарватер]

дураков у нас хватает

Тогда предлагаю самый радикальный способ:

1. создать индивидуальные мусорные карзины, куда пользователи будут все перемещать вместо удаления + chmod 700 /bin/rm
Корзины будут очищаться админом лично или регулярно запускающимся скриптом.

2. Отнять права на чтение и запись всех директорий кроме $HOME, а на исполняемые файлы, которые, все же, должны это делать, поставить sgid

[Фарватер]

Быстрое и грязное решение проблемы:

find / -type d -print0 | xargs -0 chmod -c go-w
chmod -R g+w /tmp

Первая команда запретит запись (и стирание) в каталогах для владельцев-групп и прочих пользователей, оставив это право лишь у владельцу-пользователю. Вторя команда сделает исключением временный каталог /tmp, запись валдельцев-групп в который, нужна для запуска Х.

В результате, у непревелигированных пользователей будет работать большая часть программ. Не будут работать Seamonkey, OpenOffice и, может, что-то еще. Но не так много программ пострадает.

Отсюда дальнейший путь - отслеживание и добавление дальнейших исключений.

[melviX]

Наверное достаточно удалить запуск консолей из меню, с десктопа, из трея и из Rox-filer. На десктопе и в меню оставить только минимум программ. И конечно же админам рекомендовать ставить многопользование с ограничениями для юзеров.

[Фарватер]

А зачем удалять консоли? Если пользователь захочет, то он и без консолей все файлы поудаляет через ROX.

[melviX]

Специально не удаляют, обычно. Если получится предлагаемая тобой защита, то люкс. Хотя обычные юзеры консолью не пользуются, защита "от дурака" не помешает. Только не "параноидальный уровень" 

[Фарватер]

Пришла в голову мысль. Сxожу-ка на досуге в Apple-центр и проверю их компы этим тестом! 
Какие будут прогнозы?