Re(6): Berechtigungen

Berechtigungen - Vorteile? (27 Beiträge, 520 Mal gelesen)

Du bist nicht angemeldet. [ Login/Registrieren ]

Bin eigentlich Windows-Guy und hatte unlängst eine Diskussion über Vorteile bei Berechtigungsvergabe unter Linux.
Ich habs nicht ganz verstanden, was tatsächlich "besser" einstellbar ist als unter Windows.

Euere Meinung?

Re: Berechtigungen - Vorteile? (Somnatic am 18.12.2009, 09:27:54)

Re(2): Berechtigungen - Vorteile? (kombipaket am 22.12.2009, 20:56:39)

Re(3): Berechtigungen - Vorteile? (Somnatic am 23.12.2009, 00:42:56)

Re(4): Berechtigungen - Vorteile? (kombipaket am 23.12.2009, 07:29:22)

Re(5): Berechtigungen - Vorteile? (Somnatic am 23.12.2009, 08:18:53)

Was mich halt generell stört ist dieses single User/single Group Prinzip - das scheint aber unter SELinux aber ja nicht mehr zu existieren (oder wurde das etwa beibehalten?).

SingleUser/Group gibts ja AFAIK seit den 70ern nicht mehr bei Unixoiden... Wohl gibt es aber noch die Primärgruppe. Wenn Du eine Datei anlegst, bekommt sie die Gruppe deiner Primärgruppe (ausser die Directorypermissions sehen anderes vor) - aber das kennst eh.

Ansonsten hat man mit ACLs schon recht viel in den Griff bekommen... Rein bei den Filesystemrechten bietet Windows da allerdings echt mehr (zB Append-Recht bei Directories) [Auch wenn De facto M$ selbst seine eigenen Guidelines verletzt und man viel zuoft zuviele Rechte auf Directories vergeben muss]).

SELinux hingegen ist extrem stark. Die Patches für den 2.4er-Kernel bzw. der Vanilla-Teil für 2.6 stammt von der NSA, und die haben ja doch ein bisschen Ahnung von Security:
http://www.nsa.gov/research/selinux/index.shtml

Dabei gibt es noch immer die klassischen Unix-Rechte... SE wird praktisch erst dann aktiv, wenn du unter "normalen" Bedingungen (Filepermissions, ...) Zugriff auf ein Objekt bekommen hättest - dann kann es durch die SE-Policies nochmal abgedreht werden

.

Wichtig ist dabei (zumindest für den File-Teil), dass deine Dateisysteme POSIX-ACLs unterstützen.

Es gibt 2 reale Nachteile von SE:
1.) Man muss sich in das Denkkonzept mal einleben. Das ist immer aufwändig.
2.) Es gibt keine mir bekannten Tools die einen Unterstützen, Policies bequem zu setzen. Vergleich aus der "DB"-Welt: Wenn man nur ACCESS gewohnt ist, kommt einem händische DML/DQL/DDL-Statements unendlich umständlich vor. Wenn Du die händisch gewohnt bist - kommt dir das Access-GUI wie eine extrem umständliche Einschränkung vor (beginnend mit simplen UNIONs).

Reale Einarbeitungszeit (so wie ich dich kenne) für Dich in SE: 1 Monat, wenn Du es so nebenbei machst... 1-2 Wochen, wenn Du es intensiv betreibst. Darunter wird es kaum klappen.

Das Ergebnis kann sich aber sehen lassen.
Angenommen, es hackt Dir wieder einmal einer den Apache - wie mir in den 90ern passiert wg. modSSL-Bug - dann macht es nichts mehr, weil er zB nicht mehr wegforken kann und daher nicht einmal eine Shell bekommt

Re: Berechtigungen - Vorteile? (morph1 am 18.12.2009, 12:34:00)

Re(2): Berechtigungen - Vorteile? (Blender3D am 18.12.2009, 12:58:36)

Re(3): Berechtigungen - Vorteile? (morph1 am 18.12.2009, 13:02:41)

Re(4): Berechtigungen - Vorteile? (Blender3D am 18.12.2009, 13:05:47)

Re(5): Berechtigungen - Vorteile? (morph1 am 18.12.2009, 13:12:08)

Re(6): Berechtigungen - Vorteile? (A national Acrobat am 18.12.2009, 13:20:49)

Re(7): Berechtigungen - Vorteile? (morph1 am 18.12.2009, 13:21:44)

Re(8): Berechtigungen - Vorteile? (A national Acrobat am 18.12.2009, 13:23:59)

Re(9): Berechtigungen - Vorteile? (Glockman am 18.12.2009, 13:58:03)

Re(10): Berechtigungen - Vorteile? (A national Acrobat am 18.12.2009, 14:32:11)

Re(4): Berechtigungen - Vorteile? (kombipaket am 22.12.2009, 20:58:31)

Re(3): Berechtigungen - Vorteile? (user86060 am 18.12.2009, 17:54:50)

Re(4): Berechtigungen - Vorteile? (kombipaket am 22.12.2009, 21:11:38)

Re: Berechtigungen - Vorteile? (SinnFrei am 19.12.2009, 14:59:50)

Re: Berechtigungen - Vorteile? (to_markus am 22.12.2009, 00:42:12)

Re: Berechtigungen - Vorteile? (juwb am 22.12.2009, 15:29:19)

Re: Berechtigungen - Vorteile? (arctic am 22.12.2009, 16:09:07)

Dieses Forum ist eine frei zugängliche Diskussionsplattform.
Der Betreiber übernimmt keine Verantwortung für den Inhalt der Beiträge und behält sich das Recht vor, Beiträge mit rechtswidrigem oder anstößigem Inhalt zu löschen.
Datenschutzerklärung