Java от рута

зависит от приложения. Там вполне может быть в коде Runtime.getRuntime().exec(«rm -rf /») и оно выполнится. Никаких ограничений в поставке джавы по умолчанию для приложений нет.
Формально, получить доступ к исполняющемуся джава-коду в рантайме очень сложно а заставить его выполнить свой код - еще сложнее, даже имея ssh доступ к серверу) Я бы просто перезапустил бы от нормального пользователя сервер.
В моей практике сервера работают от обычных пользователей, не от рута.

хотя нет, соврал. Были случаи, когда джава сервер прописывался в /etc/init.d как сервис и в таком случае запускался от рута. Не знаю, насколько это безопасно.

Я думаю лучше такой вопрос в Security поместить

Arrest

Насколько безопасна жава от рута?

зачем? почему нельзя от юзеров? лениво? ну ССЗБ.

Насколько безопасна жава от рута?

Опасность от 8 до 10 по десятибальной шкале. Срочно ограничить!

не опаснее ружья, приставленного к яйцам. Пока кто-нибудь не нажмет на курок - не выстрелит ;-)

А как в джаве можно на курок нажать?

а строчки кода, приведенной выше(Runtime.getRuntime().exec(«rm -rf /»)) не достаточно? Вообще тут вопрос не конкретно к Java. Отстрелить яйца можно где угодно. Вопрос в том: если можно что-то полноценно запустить НЕ из под рута, зачем это запускать из под рута? А что там - вопрос десятый...

s/где угодно/под рутом где угодно/

быстрофикс

Естественно это нормально!
На винде же игровые сервера почти поголовно работают от «рута».

Брось, че с ним может случиться!
Не стоит заморачиваться и мешать работать барыгам дедиками.

В яве периодически находят всякие уязвимости. Если есть возможность, лучше пускать от обычного пользователя.

Все ее процессы запущены от рута.

Ну выжрет всю память. Засрёт SWAP при неадекватности поведения...

Это нормально, безопасно

Вполне. (Это же непонятно где текущий из всех щелей код, написанный на C/C++). Стоит опасаться только «внутреннего» DoS'а из-за быдлокода, выжирающего память.

по chroot'ам?

Тогда уж по jail'ам. ;)

В яве периодически находят всякие уязвимости.

хорошая шутка.jpg
Последняя уязвимость что я помню была год назад и про песочницу, в которой выполняются апплеты.

Последняя уязвимость что я помню была год назад и про песочницу, в которой выполняются апплеты.

гг, http://www.opennet.ru/opennews/art.shtml?num=33094

15.02.2012
устранено 14 уязвимостей. Подробности об устраненных уязвимостях не сообщаются, но пяти проблемам присвоен максимальный уровень опасности.

Чаще всего запускают от обычного юзера с uid 1000 +

Насколько безопасна жава от рута?

Это настолько же безопасно как и не мыть руки перед едой и не мыть фрукты и.т.д. Некоторые годами не моют и ничего, а некоторые салфеткой протрут на улице раз в году рискуя и все кишечная.
Но скорей всего больше проблем будет от того что со временем ява все сожрет, а OOM Killer убьет максимально все кроме самой явы.

Напиши инит-скрипт который будет держать эту игрушку демоном, запущенным от другого юзера.

Пример: http://www.minecraftwiki.net/wiki/Server_startup_script

а порты то оно какие слушает ? Случайно не < 1024

Даже если и надо слушать 80-й порт, необходимость запускать софт от рута отсутствует, т.к. существуют:
1) iptables
2) Linux capabilities.

Нет, это совершенно небезопасно. Рассадить по разным пользователям.

Опасность внутреннего быдлокода. Срочно поправить надо

ничего от рута не безопасно, особенно быдлокод на жабопистонах

1) iptables
2) Linux capabilities

Во только знают ли о них запускальщики ?

Теперь знают :)

Ещё есть подход apache tomcat. Там запускается нативный процесс от рута и форкается в джаву, джава понижается до юзера, а нативный процесс открывает 80 порт и через пайпы обменивается информацией с джавой. commons-daemon, если не ошибаюсь. Никаких настроек ОС не нужно, ну и переносимо на другие юниксы, по идее.

Да, я знаю. Но тут ИМХО проще NAT.

не надо ее от рута пускать просто и всё.

http://www.minecraftwiki.net/wiki/Server_startup_script

отлично работает из-под юзера.

одну кубическую игрушку

кубическую игрушку

это то о чем я думаю?