Как запретить пользователю монтирование виндовых файловых систем?

может помочь поместить модули vfat и ntfs в чёрный список модулей.

наутилус работает в т.ч. от рута

бред, он работает от пользователя kgse

наутилус работает в т.ч. от рута

бред, он работает от пользователя kgse

*slowpoke* Вижу. Grep. Извините. Вторые сутки без отдыха.

pgrep -f nautilus

А если в fstab прописать монтирование этих ФС по UUID в каталоги, закрытые от доступа простым юзерам (владелец root и права доступа 700).

Тогда с одной стороны будут нормально работать флешки, с другой доступ к установленной Windows будет закрыт.

на сколько я понял, речь шла о добавлении в /etc/init/rc.conf строки вроде

MODULES=(!vfat)

но это не помогает: наутилус все равно монтирует

/etc/modprobe.d/blacklist.conf

да, только по непонятной мне причине, из при явном указании в fstab и создании каталога с именем uuid раздела, при монтировании создается каталог вида uuid_ Например 116B-17EE и 116B-17EE_

[code]root@desktop:~# blkid

/dev/sda1: UUID=«116B-17EE» TYPE=«vfat»[/code]

все равно

root@desktop:~# lsmod | grep fat
vfat                    8933  0 
fat                    47767  1 vfat

root@desktop:~# cat /etc/modprobe.d/blacklist.conf | tail -n 1
blacklist vfat

А, да, — ручная загрузка остаётся возможной. Судя по упоминанию Наутилуса, тебе нужно копать в сторону PolicyKit.

Тогда делаем так:

Добавляем vfat в чёрный список, делаем rmmod vfat (если не хочется перезагружаться), удаляем/переименовываем файл /lib/modules/<ядро>/kernel/fs/fat/vfat.ko (или по другому пути, если это как-то дистрозависимо), если такой существует. Только что проверил, монтировать больше не получается.

Способ костыльный, и после обновления ядра модуль восстановится. Но по крайней мере работает.

если у тебя там ntfs, то скорее всего надо таки просто удалить fuse.

Или монтирование съемных носителей надо оставлять?

не надо ничего удалять

man modprobe.conf.d

Оно разве не через udisks работает? Можно запретить монтирование ФС на постоянно подключенных (internal) устройствах - это делается в /usr/share/polkit-1/actions/org.freedesktop.udisks.policy, либо запретить монтирование конкретных ФС через правила udev.

>man modprobe.conf.d

оно разве используется кем-то, кроме modprobe(8)? А модули могут быть загружены и другими методами.

А модули могут быть загружены и другими методами

и к чему ты это написал? udev дёргает modprobe
кроме удева это может сделать только рут, а ему никак не запретишь

>кроме удева это может сделать только рут, а ему никак не запретишь

ну-ну. Это в вашей парралельной вселенной так, а в реальной жизни все кому не лень пишут свои суид-программы и делают exec(3), когда этого делать-то не надо.

тю, тогда нужно собирать ядро без поддержки модулей
удаление модуля не поможет, тк его можно принести с собой
и тд

Пользователь не должен иметь возможности монтировать файловые системы Windows, стоящей параллельно.

А если примонтировать с правами чтения и записи только из под рута?

> Как запретить пользователю монтирование виндовых файловых систем?

распечатай на А4 и повесь на входную дверь: «пользователям запрещается монтирование виндовых файловых систем. штраф 750 рублей». остальные варианты либо сложны в реализации, либо легко обходятся.

Попробуй убрать его из группы plugdev.

Благодарю всех отписавшихся, проблема благополучно решена. Идеологически — криво, но работает. Наконец-то я отоспался, и могу поделиться деталями, если кому интересно.

Дополнение по сути: грядет проверка. Суть была в том, чтобы сделать абсолютно недоступной венду, и загружаться в нее только через пароль в грубе. Не загрузишся со своего носителя, или не вымеш винт — ничегошеньки не увидишь.

В принципе я и сначала пробовал таскать папку с модулями, но видимо не правильно делал rmmod, для фата они друг на друга завязаны. По совету xapienz все выпилил — благодать. Ну а для ntfs — выпилил пакеты ntfs-3g ntfsprogs.

Прошу не ругать дебилом за столь грубый подход, был нужен результат в короткие сроки и на больших объемах.

Опять же, если интересно — могу поделиться быдлоскриптами. Завязал все на выполнение двух скриптов. http://dl.dropbox.com/u/1068951/http.tar.bz2