Оказывается, sudo и расширенный $PATH юзера - потенциальные уязвимости

Я написал

Возможно ... но это не точно.

Чтобы понимать точнее надо лучше знать информационную безопасность.

Так, может, это Вы не имеете представления?

Мне грамотные IT-специалисты сказали, что $PATH у юзера урезают и sudo блокируют для безопасности и что чтобы понимать подробности надо быть специалистом по информационной безопасности. Они также подозревали, что ЛОРовцы слишком мало знают чтобы это понять. Вот, решил поделиться инфой и проверить.

чтобы понимать подробности надо быть специалистом по информационной безопасности.

У нас есть такие приборы, но мы вам о них не расскажем

Это устаревший сборник рекомендаций на основе существующих практик размещения файлов в линуксе. Чаще всего в /bin он уже не лежит, но вызвать по этому адресу по прежнему можно (для совместимости).

Мне грамотные IT-специалисты сказали, что $PATH у юзера урезают и sudo блокируют для безопасности и что чтобы понимать подробности надо быть специалистом по информационной безопасности.

Вот это как раз повод усомниться в их грамотности.

Они также подозревали, что ЛОРовцы слишком мало знают чтобы это понять. Вот, решил поделиться инфой и проверить.

Не постигли дзена и не достигли просветления? Где вменяемые доводы, которые не идут вразрез с логикой? Апелляция к авторитеты — не аргумент. Звучит реально как сектанство какое-то. Или ляпнули не подумав, а теперь отмазываются «да вы просто ничего не знаете, что вам объяснять», вместо того, чтобы членораздельно нахрюкать, каким же таким чудесным образом безопасность зависит от конкретной переменной окружения и наличия в ней путей, к которым доступ и так есть.

Мне грамотные IT-специалисты сказали

Они сейчас с тобой, в этой комнате?

В одних со мной чатах в Телеграме.

Сначала я ничего не понял.

А если взломает какой-нибудь скрипт? Он может и поломаться на том, что какая-нибудь команда не выполнится как предполагалось его автором.

А потом как понял…

Что ты понял? Я всё ещё ничего не понял.

Жирно

Я вот не понимаю, каким образом ему ограничивается обзор системы, обьясни пожалуйста поподробнее

почему-то никто не угадал почему не стоит расширять $PATH обычного юзера

Всмысли? А это что?

Используйте doas! Прекрасная альтернатива sudo.

Признаю свою ошибку.

Я вот не понимаю, каким образом ему ограничивается обзор системы, обьясни пожалуйста поподробнее

Я сам не понимаю всех подробностей. Мне так сказали, что при таких настройках у него может быть ограничен обзор. А как именно - надо разбираться.

Что ты понял? Я всё ещё ничего не понял.

Что если я переименую у себя все бинарники в /bin то меня никакой хакир не взломает и его хакирские скрипты у меня не заработают.

Я сам не понимаю всех подробностей. Мне так сказали

Не парься, для нынешнего времени это норма. Можно даже интеллектуальной элитой прослыть.

Дык невозможно одновременно разбираться, например, в хирургии и ядерной физике. В IT тоже есть разные области. Я не по информационной безопасности. Как и не по железу.

к которым доступ и так есть

Там суть в том, что если они не в PATH то ты всегда будешь запускать как, условно /sbin/mount, а не просто mount. И в этом случае даже если кто-то добавит тебе PATH=/tmp/troyan:$PATH то из-за привычки указывать полный путь, шанс что ты его запустишь уменьшается.

Странный способ защиты от странного хакера

Если он взломает обычного юзера и повысит привилегии... у него может быть даже обзор системы сильно ограничен при таких настройках.

Лицорука, яйцонога 🤦‍♂️

лор 2023, личный разбан, итоги.

Мне грамотные IT-специалисты сказали, что $PATH у юзера не урезают и sudo не блокируют для безопасности и что чтобы понимать подробности надо быть специалистом по информационной безопасности. Они также подозревали, что saahriktu слишком мало знает чтобы это понять. Вот, решил поделиться инфой и проверить.

«Если вам не нравятся мои ответы, то вы тогда не задавайте вопросов» ©

Я тебе вопросов не задавал. Если раньше считал тебя странным фриком-провокатором, то теперь считаю просто идиотом.

В прошлой теме, на которую приведена ссылка, большинство людей не понимали зачем урезать $PATH юзера, какой от этого профит. Поэтому я спросил это у тех людей, которые мне говорили, что так нужно делать для безопасности. И донёс до ЛОРа из тех ответов то, что смог. Ещё предварительно посмотрев дополнительную инфу в интернете.

А так они мне говорили читать вот эту новость и дальше по ссылкам: https://www.opennet.ru/opennews/art.shtml?num=29010 .

Моё мнение, что обычному юзеру сегодня такой уровень секурности не нужен. Но тут речь именно о таком, высоком и корпоративном уровне секурности.

Я не разворачивал ответ дальше того, что я понял. В том и засада, что людей заинтересовало в первую очередь то, что дальше.

А моей задачей было донести, что определённые аргументы против sudo и /sbin, /usr/sbin и /usr/local/sbin в $PATH юзера всё-таки есть, пусть и далеко не все это признают.

Моё мнение, что обычному юзеру сегодня такой уровень секурности не нужен

В чем оно состоит? Не призрачных «людей, которые тебе что-то говорили».

Но тут речь именно о таком, высоком и корпоративном уровне секурности.

С которым ты наверняка сталкивался, или тоже «люди говорили»?

А моей задачей было донести, что определённые аргументы против sudo и /sbin, /usr/sbin и /usr/local/sbin в $PATH юзера всё-таки есть, пусть и далеко не все это признают.

Конечно там нет никаких аргументов, просто раньше ты прятался под «не всем нужно», а теперь решил прятаться под «знакомые специалисты рассказали».

Молодец, развел тред на 3 страницы комментариев и меня подорвал.

Кроме «лор 2023, личный разбан от макскома, итоги.» повторить больше нечего. Удачного пути.

Комменты пролистал в надежде увидеть «Security through obscurity», но даже димез про это не написал.

Молодец, развел тред на 3 страницы комментариев

Прямо с языка сняли :)

ПыСы: доколе тролля кормить будем?

В чем оно состоит?

Я написал. Есть мнение, что такой уровень секурности нужен всем, кто не экстремал. Я считаю иначе.

С которым ты наверняка сталкивался, или тоже «люди говорили»?

Я столкнулся с такими стандартами. Уже почти год собираюсь вступить в команду, где такие традиции, но до последнего времени об этом разговор особо не заходил.

Уже почти год собираюсь вступить в команду, где такие традиции

Желаю успехов.

уровень секурности
PATH

^^

Уже почти год собираюсь вступить в команду, где такие традиции

Озвучьте же уже «героев нашего времени»? Дабы не дай бог не вляпаться…

А вот не скажу в этой теме, поскольку не до конца понятные большинству традиции могут встречаться где угодно, а в остальном там всё OK. Собственно, и в урезанном у юзера $PATH и su вместо sudo я ничего страшного не вижу. Тем более, что su я и так юзал. Просто я раньше не до конца его осилил, а теперь начал юзать его правильнее. И более полный $PATH мне теперь неактуален больше. Прежний менее правильный вариант юзания мной su требовал расширенного варианта $PATH у юзера.

Кстати, знаю, что как минимум один человек в команде юзает sudo и всем OK.

А вот не скажу в этой теме, поскольку не до конца понятные большинству традиции

Вот Вы прямо таки провоцируете меня на остроты на тему «традиционных ориентаций» команды сейчас.

Но, не соскакивайте с темы, пожалуйста - я очень желаю знать кто такой гениальный нынче? Да ещё и «в массы» это несёт?

Ну чтож. Про прямую связь $PATH и sudo с безопасностью мне говорили, например, Андрей Черепанов (кстати, присутствует в чатах кучи разных дистрибутивов, включая Магейю, Росу и openSUSE) и Алексей Новодворский. Последний уточнил, что /sbin, /usr/sbin и /usr/local/sbin в $PATH у обычного юзера «это не безусловная дыра» (c)

Андрей Черепанов

Подозреваю что в испорченный телефон играем. Если он Вам действительно такое заявил - призовите ужо его сюда. Пусть расставит все точки «над и». Только я думаю что он такого не говорил, а это всего лишь Ваша болезненная интерпретация.

если я переименую у себя все бинарники в /bin то меня никакой хакир не взломает и его хакирские скрипты у меня не заработают.

Логично.

По ходу, он не очень уважает ЛОР чтобы уделять ему больше времени.

Только именно к безопасности это отношения имеет мало.

Skull

Dimez maxcom
Пожалуйста, удалите тему. Раз ненужна (куча дизлайков) - значит, ненужна.

Раз ненужна

Не не не. Plot just thickens… Требую «продолжения банкета».

Банкет мог продолжаться без привлечения третьих лиц. А теперь если он продолжится, то я опять уйду с ЛОРа (не обязательно удаляя аккаунт). Потому, что мы так не договаривались, и это довольно некрасиво. Зря я согласился продолжить диалог...

Мне проще признать что я что-то не так понял. В этом случае я, действительно, не понял что к чему.

Мне проще признать что я что-то не так понял.

Если бы Вы это сделали - в глазах многих присутствующих это был бы большой плюс. А пока видна только попытка слиться до того как «зубры» пришли…

Удалять тему с кучей комментариев некрасиво по отношению к комментаторам. Так же некрасиво шантажировать сообщество самозабаном.

если я переименую у себя все бинарники в /bin

Это полумеры, я вот просто удалил /bin, теперь ни один хакир не страшен.

А я просто сказал бинарникам, что они сами вольны определять свой тип, и бинарные файлы стали небинарными.

именно к безопасности это отношения имеет мало

Почему? Если ты делаешь что-то типа sudo mount (а для того что в /sbin это не редкость) и при этом используется твой PATH то троян получит привилегии root. Эскалация налицо.

Только не надо мне сейчас рассказывать, что это не сработает потому и потому. Я знаю что это сейчас не сработает. Но когда-то работало.