Страница 1 из 1
Проблемы с безопасностью
Добавлено: 24 мар 2016, 23:02
Алзим
Скачал я себе архив openvpn-2.3.10.tar.xz
Распаковал его. Зашёл в папочку с содержимым.
И захотелось мне посмотреть содержимое файлика configure, который в самом корне лежит.
Естественно, я кликнул по нему мышью, ожидая, что откроется текстовый редактор… и закипело… В папке с этим файликом начали появляться-исчезать файлики и т.п. Всё это сильно напоминающее, что-что-то ставиться-удаляется.
Как сделать так, чтобы без ввода пароля (хотя бы моего, а не root), после одного нажатия мышью ничего не исполнялось?
Да, этот файлик исполняемый. Но, «исполняться» я его не просил. Я считаю, что возможность файликам запускаться одним нажатием мыши — это крайне очень и очень небезопасно.
Re: Проблемы с безопасностью
Добавлено: 24 мар 2016, 23:20
Delles
Кликание мышкой по исполняемому файлу это, натурально, команда ему исполняться. Но чтобы исполняемый файл имел значок, наглядно отличающий его от неисполняемого, хотелось бы.
Re: Проблемы с безопасностью
Добавлено: 24 мар 2016, 23:25
Алзим
Правой мышью по этому файлу и в строке «Открыть с помощью…» появляется открыть в текстовом редакторе. И намёка нет, что просто нажав мышью на файл, он начнёт исполнятся.
Re: Проблемы с безопасностью
Добавлено: 24 мар 2016, 23:37
Delles
Алзим писал(а):Правой мышью по этому файлу и в строке «Открыть с помощью…» появляется открыть в текстовом редакторе. И намёка нет, что просто нажав мышью на файл, он начнёт исполнятся.
Да, в gui со скриптами так: внешне значок исполняемого файла ничем не отличается от неисполняемого. В терминале они отличаются вполне заметно —
Re: Проблемы с безопасностью
Добавлено: 24 мар 2016, 23:43
adeptru
...не знаю, поможет-нет: я у себя в настройках Дельфина пометил "Отобразить иконку запуска KLook на значке", теперь (когда исполняемый хочу открыть в редакторе) клацаю на этом KLook (можно и так посмотреть), а там уже клавиша "открыть в KWrite"...
Re: Проблемы с безопасностью
Добавлено: 25 мар 2016, 00:34
Delles
adeptru писал(а):...не знаю, поможет-нет: я у себя в настройках Дельфина пометил "Отобразить иконку запуска KLook на значке", теперь (когда исполняемый хочу открыть в редакторе) клацаю на этом KLook (можно и так посмотреть), а там уже клавиша "открыть в KWrite"...
Спасибо! Это удобно. Можно, не отображая значок KLook, нажимать пробел: будет не запуск, а просмотр.
Re: Проблемы с безопасностью
Добавлено: 25 мар 2016, 06:24
Алзим
adeptru писал(а):...не знаю, поможет-нет: я у себя в настройках Дельфина пометил "Отобразить иконку запуска KLook на значке", теперь (когда исполняемый хочу открыть в редакторе) клацаю на этом KLook (можно и так посмотреть), а там уже клавиша "открыть в KWrite"...
Поставил себе эту галочку.
Но, это не решило проблемы. Нажав мышью на файл, он всё равно начал исполнятся.
Я не всегда знаю какой файл у меня исполняемый. А если каждый файл открывать через дополнительную программу, то это как минимум, дополнительная трата времени.
Я даже не предполагал, что в Дельфине есть такая огромная уязвимость в безопасности. Даже в консольном МС исполняемые файлы хотя бы выделяются.
Re: Проблемы с безопасностью
Добавлено: 25 мар 2016, 09:47
trs
Если выбрать открытие по двойному клику, то может быть ещё интереснее: файл начнёт запускаться в зависимости от положения звёзд и качества мышки.
А что способен сделать маскирующийся под configure зловред без прав админа? Всего-то сотрёт какие-нибудь файлики пользователя, зато система останется цела.
Re: Проблемы с безопасностью
Добавлено: 25 мар 2016, 11:34
-=KabaL=-
Алзим писал(а): Я считаю, что возможность файликам запускаться одним нажатием мыши — это крайне очень и очень небезопасно.
Нужно не забывать , а смотреть расширения файлов.
Подменить иконку любого расширения не сложно , особенно для скриптов и тому подобной нечести.
Есть простой способ защитить систему от левостороннего вмешательства при установке лжепрограмм.
http://wiki.rosalab.ru/ru/index.php/ROSA_Freeze
Re: Проблемы с безопасностью
Добавлено: 25 мар 2016, 11:40
Delles
-=KabaL=- писал(а):Нужно не забывать , а смотреть расширения файлов.
Подменить иконку любого расширения не сложно , особенно для скриптов и тому подобной нечести.
Расширение файла в Линуксе не имеет особого значения. Файл может быть исполняемым без всякого расширения. И скрипты — это совсем не нечисть, если из Линукса убрать все скрипты, он просто не будет работать.
Re: Проблемы с безопасностью
Добавлено: 25 мар 2016, 11:42
Алзим
-=KabaL=- писал(а):
Нужно не забывать , а смотреть расширения файлов.
Исполняемые файлы в Дельфине не должны запускаться простым нажатием мыши. Такого нет даже в Експлорере.
Re: Проблемы с безопасностью
Добавлено: 25 мар 2016, 11:43
Delles
trs писал(а):А что способен сделать маскирующийся под configure зловред без прав админа? Всего-то сотрёт какие-нибудь файлики пользователя, зато система останется цела.
Он может спустить весь дом в шреддер. А дом для пользователя обычно важнее системы.
Re: Проблемы с безопасностью
Добавлено: 25 мар 2016, 11:44
Delles
Алзим писал(а):Исполняемые файлы в Дельфине не должны запускаться простым нажатием мыши
Это невозможно. У Вас тогда ничего вообще запускаться не будет из Дельфина.
Re: Проблемы с безопасностью
Добавлено: 25 мар 2016, 11:50
Алзим
Delles писал(а): А дом для пользователя обычно важнее системы.
Конечно важнее. Там вся информация пользователя.
А систему за 15 минут можно переустановить.
Да и хакеру, наверное, параметры системы нужны только для того, чтобы добраться до Хомяка. А если у хакера прямой доступ к Хомяку, то и ему система ненужна.
Delles писал(а):
Это невозможно. У Вас тогда ничего вообще запускаться не будет из Дельфина.
На Винде это возможно. Дельфин прекрасно видит исполняемые файлы и зачем-то запускает их без предупреждения.
Re: Проблемы с безопасностью
Добавлено: 25 мар 2016, 12:00
trs
Алзим писал(а):Delles писал(а): А дом для пользователя обычно важнее системы.
Конечно важнее. Там вся информация пользователя.
Это уже разговор об просчётах в дизайне (в лучшем случае — конфигурировании) системы безопасности, которая выставляет пользователя как Самого Себе Злобного Буратина... Можно и из mc случайно нажать, не обязательно самому, вдруг в дополнение к мышке есть ещё и кошка.
Re: Проблемы с безопасностью
Добавлено: 25 мар 2016, 12:13
Delles
Алзим писал(а):На Винде это возможно. Дельфин прекрасно видит исполняемые файлы и зачем-то запускает их без предупреждения.
Включения какого-то предупреждения, вероятно, несложно прикрутить, но это предупреждение будет выводиться при запуске любого исполняемого файла, т.е. при запуске всего, что запускается из Дельфина. А возможность запуска программы из Дельфина кликанием мышки невозможно считать подрывом безопасности. Мне, например, очень удобно, что скрипт можно запустить, кликнув по нему мышкой. Но я бы был рад, если бы значки исполняемых файлов и неисполняемых визуально различались.
Re: Проблемы с безопасностью
Добавлено: 25 мар 2016, 12:15
Delles
trs писал(а):Это уже разговор об просчётах в дизайне
Вот я так и думаю. Но пока не видел нигде, кроме консоли (Konsole), чтобы исполняемые и неисполняемые файлы визуально различались.
Re: Проблемы с безопасностью
Добавлено: 25 мар 2016, 12:17
trs
Delles писал(а):я бы был рад, если бы значки исполняемых файлов и неисполняемых визуально различались.
Может быть даже следует их не вперемешку отображать.
Re: Проблемы с безопасностью
Добавлено: 25 мар 2016, 12:18
Алзим
Радует только одно, что в новом Дельфине (версия 15.12.3), который используется в KDE5, данная проблема решена.
Там и исполняемый файл отмечается, и подписывается, и предупреждение появляется.
Re: Проблемы с безопасностью
Добавлено: 25 мар 2016, 12:24
Delles
Алзим писал(а):Радует только одно, что в новом Дельфине (версия 15.12.3), который используется в KDE5, данная проблема решена. Там и исполняемый файл отмечается, и подписывается, и предупреждение появляется.
На мой взгляд это не решение, т.к. я при запуске первой же программы отметил бы «Больше не задавать этот вопрос» и выбрал бы «Запустить», потому что из Дельфина запускаю регулярно довольно много чего. А вот если бы значок исполняемого файла визуально отличался, было бы понятно, что, когда нужно не запустить, а открыть, нужно не кликать, а выбрать «Открыть в…». Впрочем, сейчас нажатие пробела — спасибо
adeptru за подсказку — этот вопрос для меня решает: исполняемый скрипт открывается во вьюере.
Re: Проблемы с безопасностью
Добавлено: 25 мар 2016, 12:34
Алзим
Delles писал(а):А вот если бы значок исполняемого файла визуально отличался, было бы понятно, что, когда нужно не запустить, а открыть, нужно не кликать, а выбрать «Открыть в…»./quote]
Внимательно на скрин посмотрите и на то, что я написал. Исполняемые файлы там — это отдельный значок.
Delles писал(а):Впрочем, сейчас нажатие пробела — спасибо adeptru за подсказку — этот вопрос для меня решает: исполняемый скрипт открывается во вьюере.
Ага. Воспользовался я этим советом.
Файл сначала исполнился, а только потом открылся в вьюере.
Re: Проблемы с безопасностью
Добавлено: 25 мар 2016, 12:41
Delles
Алзим писал(а):Файл сначала исполнился, а только потом открылся в вьюере.
У меня просто открывается во вьюере, не исполняясь. Сейчас опробовал и на своих скриптах, и на приобретенных извне. Но если так работает не во всякой среде, значит визуальное различение еще желательнее.
Re: Проблемы с безопасностью
Добавлено: 25 мар 2016, 12:48
Delles
Но вообще-то предполагать, что файл configure будет неисполняемым, неправильно: обычно он исполняемый.
Re: Проблемы с безопасностью
Добавлено: 25 мар 2016, 12:52
keleg
гм. мне вот не приходило в голову запускать файлы из Dolphin.
Либо меню, либо уж консоль.
Re: Проблемы с безопасностью
Добавлено: 25 мар 2016, 12:54
Алзим
keleg писал(а):гм. мне вот не приходило в голову запускать файлы из Dolphin.
Либо меню, либо уж консоль.
А я тоже не собирался запускать.
Я хотел посмотреть содержимое файла в текстовом редакторе, а вместо просмотра файл запустился.
Re: Проблемы с безопасностью
Добавлено: 25 мар 2016, 13:10
Delles
Алзим писал(а):Я хотел посмотреть содержимое файла в текстовом редакторе, а вместо просмотра файл запустился.
Так ведь исполняемые файлы при клике по ним исполняются, это их нормальное поведение. Было бы странно, если бы он при клике по нему открылся в kwrite. То, что это файл скрипта, видно, и то, что он извлечен из *nix-ового архива, обыкновенно означает то, что он исполняемый, т.к. так распространяются рабочие программы.
Re: Проблемы с безопасностью
Добавлено: 25 мар 2016, 13:18
Delles
keleg писал(а):гм. мне вот не приходило в голову запускать файлы из Dolphin.
Либо меню, либо уж консоль.
Если результатом работы скрипта является нечто выводимое на экран в графике, то его удобнее запускать из Дельфина. Например, запуск программы briss для обрезки полей у pdf’ов (я ее начал использовать еще до того, как ее включили в репозиторий). Я ее запускаю скриптом
Код: Выделить всё
#!/bin/bash
java -jar ~/.briss-0.9/briss-0.9.jar
кликая по нему мышкой.
Re: Проблемы с безопасностью
Добавлено: 25 мар 2016, 13:24
Алзим
Delles писал(а):
Так ведь исполняемые файлы при клике по ним исполняются, это их нормальное поведение.
Я уже писал выше.
Это ненормальное поведение. Такого нет даже в Винде. Дельфин должен был меня предупредить, как он это делает в версии 15.12.3.
Я простой пользователь и не умею различать каждый файлик.
И даже предполагая, что данный файл может быть исполняемый, я был уверен в защищённости Линукса. В том, что ничего просто так не запуститься.
Re: Проблемы с безопасностью
Добавлено: 25 мар 2016, 13:28
Delles
Алзим писал(а):просто так не запуститься.
Да, видимо, решение в том, чтобы было так, как в новой плазме: с выводом предупреждения, которое в то же время можно раз и навсегда отменить.
Re: Проблемы с безопасностью
Добавлено: 25 мар 2016, 13:31
Алзим
Delles писал(а):которое в то же время можно раз и навсегда отменить.
А можно и не отменять.
И может быть даже где-то в настройках есть как отменить отменение.
Re: Проблемы с безопасностью
Добавлено: 25 мар 2016, 19:22
notauser
Это старая история. Разработчиков "швыряло" туда-сюда. То исполняемые текстовые файлы не запускались, а открывались, то наоборот.
И судя по всему, при обилии всяких настроек, так и не сделали нечто подобное
Re: Проблемы с безопасностью
Добавлено: 26 мар 2016, 08:33
trs
Представим, что система обладает определённым интеллектом. Если оператор производит загрузку файлового архива, содержащего дерево исходников, то логично предположить, что следующими шагами будут конфигурирование и сборка. Если в имени архива openvpn встречается впервые, так же логично, что оператор перед запуском configure захочет его изучить, и при клике на configure может быть уместно меню с выбором "запустить/посмотреть". Если же при "посмотреть" содержимое будет открываться не с начала, а на месте с опциями конфигурирования, то это одним сэкономит время по поиску, а другим даст понять, что эти опции есть в наличии, иначе говоря — научиться.
И еще, как-то так:
Код: Выделить всё
man hier|egrep 'исполняемые|команды'
/bin Каталог, содержащий исполняемые программы, необходимые для работы в однопользовательском режиме и для запуска или ремонта системы.
/sbin Как и /bin, содержит команды, необходимые для запуска системы, но, как правило, не запускаемые обычными пользователями.
Re: Проблемы с безопасностью
Добавлено: 26 мар 2016, 20:10
nube
М..да...
Какая приятная фича "системе пофиг на расширение".
И главное - никаких проблем не создаёт....
Re: Проблемы с безопасностью
Добавлено: 26 мар 2016, 20:47
notauser
Да. Не создает. Более того не предлагает скачать всякого разного и ничего никуда не отправляет. Реально плохо, да?
То ли дело в ОС, разработанной большой и авторитетной корпорацией. Там вообще нет таких проблем, и подобных вопросов никто не задает.
Re: Проблемы с безопасностью
Добавлено: 26 мар 2016, 20:49
notauser
trs писал(а):...Если оператор производит загрузку файлового архива,...
А если оператор не оператор?
Я начинаю реально волноваться за отечественный хард
Re: Проблемы с безопасностью
Добавлено: 26 мар 2016, 21:00
Delles
nube писал(а):М..да...
Какая приятная фича "системе пофиг на расширение".
И главное - никаких проблем не создаёт....
Системе не «пофиг на расширение», расширения в ней играют свою роль. Приятная фича — это способность системы различать файлы без расширений, потому что, если система этого не умеет, как этого не умеет Ws, то это может стать реальным кошмаром для пользователя, имею опыт. Отсутствие расширений в никсах, действительно, проблем не создает. То, что configure — это шелл-скрипт, видно совершенно отчетливо и без расширения. Если добавить .sh, ничего не изменится.
Re: Проблемы с безопасностью
Добавлено: 26 мар 2016, 21:06
Алзим
Флудильня сюда переехала?
Может всё-таки вернётесь в Курилку?
Re: Проблемы с безопасностью
Добавлено: 26 мар 2016, 21:35
notauser
Вот вспомнил. Когда-то советовали в mime/type что-то cвязанное с x-executable поменять. Если кроме KDE ничего не использовать. Но это может быть вредным советом. Не помню. Но можете погуглить в этом направлении.
Re: Проблемы с безопасностью
Добавлено: 27 мар 2016, 08:40
trs
notauser писал(а):А если оператор не оператор?
Если подобным образом архив откроет пользователь, тогда может быть логичным предложение открыть браузер с подходящими ключами для поиска. Да и "рыбу" я подкинул, потому что с заголовком темы не согласен.