Проблемы с безопасностью

Ответить
Аватара пользователя
Алзим
Сообщения: 4522
Зарегистрирован: 18 июн 2015, 11:57
Operating system: ROSA Desktop Fresh R11
Откуда: Интернет

Проблемы с безопасностью

Сообщение Алзим » 24 мар 2016, 23:02

Скачал я себе архив openvpn-2.3.10.tar.xz
Распаковал его. Зашёл в папочку с содержимым.
И захотелось мне посмотреть содержимое файлика configure, который в самом корне лежит.
Естественно, я кликнул по нему мышью, ожидая, что откроется текстовый редактор… и закипело… В папке с этим файликом начали появляться-исчезать файлики и т.п. Всё это сильно напоминающее, что-что-то ставиться-удаляется.
Как сделать так, чтобы без ввода пароля (хотя бы моего, а не root), после одного нажатия мышью ничего не исполнялось?
Да, этот файлик исполняемый. Но, «исполняться» я его не просил. Я считаю, что возможность файликам запускаться одним нажатием мыши — это крайне очень и очень небезопасно.

Аватара пользователя
Delles
Сообщения: 1785
Зарегистрирован: 18 авг 2015, 19:52
Operating system: GNU/Linux : ROSA Desktop Fresh R7 (x86_64). Не обновлял.

Re: Проблемы с безопасностью

Сообщение Delles » 24 мар 2016, 23:20

Кликание мышкой по исполняемому файлу это, натурально, команда ему исполняться. Но чтобы исполняемый файл имел значок, наглядно отличающий его от неисполняемого, хотелось бы.
Talk is cheap. Show me the code.
Linus Torvalds

Аватара пользователя
Алзим
Сообщения: 4522
Зарегистрирован: 18 июн 2015, 11:57
Operating system: ROSA Desktop Fresh R11
Откуда: Интернет

Re: Проблемы с безопасностью

Сообщение Алзим » 24 мар 2016, 23:25

Правой мышью по этому файлу и в строке «Открыть с помощью…» появляется открыть в текстовом редакторе. И намёка нет, что просто нажав мышью на файл, он начнёт исполнятся.

Аватара пользователя
Delles
Сообщения: 1785
Зарегистрирован: 18 авг 2015, 19:52
Operating system: GNU/Linux : ROSA Desktop Fresh R7 (x86_64). Не обновлял.

Re: Проблемы с безопасностью

Сообщение Delles » 24 мар 2016, 23:37

Алзим писал(а):Правой мышью по этому файлу и в строке «Открыть с помощью…» появляется открыть в текстовом редакторе. И намёка нет, что просто нажав мышью на файл, он начнёт исполнятся.
Да, в gui со скриптами так: внешне значок исполняемого файла ничем не отличается от неисполняемого. В терминале они отличаются вполне заметно —
screen163.png
Talk is cheap. Show me the code.
Linus Torvalds

Аватара пользователя
adeptru
Сообщения: 673
Зарегистрирован: 29 ноя 2015, 11:03
Operating system: ROSA Desktop Fresh R11
Контактная информация:

Re: Проблемы с безопасностью

Сообщение adeptru » 24 мар 2016, 23:43

...не знаю, поможет-нет: я у себя в настройках Дельфина пометил "Отобразить иконку запуска KLook на значке", теперь (когда исполняемый хочу открыть в редакторе) клацаю на этом KLook (можно и так посмотреть), а там уже клавиша "открыть в KWrite"...
...сегодня - лучше, чем вчера, завтра - лучше, чем сегодня!..

Аватара пользователя
Delles
Сообщения: 1785
Зарегистрирован: 18 авг 2015, 19:52
Operating system: GNU/Linux : ROSA Desktop Fresh R7 (x86_64). Не обновлял.

Re: Проблемы с безопасностью

Сообщение Delles » 25 мар 2016, 00:34

adeptru писал(а):...не знаю, поможет-нет: я у себя в настройках Дельфина пометил "Отобразить иконку запуска KLook на значке", теперь (когда исполняемый хочу открыть в редакторе) клацаю на этом KLook (можно и так посмотреть), а там уже клавиша "открыть в KWrite"...
Спасибо! Это удобно. Можно, не отображая значок KLook, нажимать пробел: будет не запуск, а просмотр.
Talk is cheap. Show me the code.
Linus Torvalds

Аватара пользователя
Алзим
Сообщения: 4522
Зарегистрирован: 18 июн 2015, 11:57
Operating system: ROSA Desktop Fresh R11
Откуда: Интернет

Re: Проблемы с безопасностью

Сообщение Алзим » 25 мар 2016, 06:24

adeptru писал(а):...не знаю, поможет-нет: я у себя в настройках Дельфина пометил "Отобразить иконку запуска KLook на значке", теперь (когда исполняемый хочу открыть в редакторе) клацаю на этом KLook (можно и так посмотреть), а там уже клавиша "открыть в KWrite"...
Поставил себе эту галочку.
Но, это не решило проблемы. Нажав мышью на файл, он всё равно начал исполнятся.
Я не всегда знаю какой файл у меня исполняемый. А если каждый файл открывать через дополнительную программу, то это как минимум, дополнительная трата времени.

Я даже не предполагал, что в Дельфине есть такая огромная уязвимость в безопасности. Даже в консольном МС исполняемые файлы хотя бы выделяются.

trs
Сообщения: 1939
Зарегистрирован: 07 сен 2015, 16:08
Operating system: -

Re: Проблемы с безопасностью

Сообщение trs » 25 мар 2016, 09:47

Если выбрать открытие по двойному клику, то может быть ещё интереснее: файл начнёт запускаться в зависимости от положения звёзд и качества мышки.

А что способен сделать маскирующийся под configure зловред без прав админа? Всего-то сотрёт какие-нибудь файлики пользователя, зато система останется цела. :)

Аватара пользователя
-=KabaL=-
Сообщения: 247
Зарегистрирован: 28 мар 2015, 12:46
Operating system: ROSA Desktop Fresh R5 release 2014.1 for x86_64

Re: Проблемы с безопасностью

Сообщение -=KabaL=- » 25 мар 2016, 11:34

Алзим писал(а): Я считаю, что возможность файликам запускаться одним нажатием мыши — это крайне очень и очень небезопасно.
Нужно не забывать , а смотреть расширения файлов.
Подменить иконку любого расширения не сложно , особенно для скриптов и тому подобной нечести.
Есть простой способ защитить систему от левостороннего вмешательства при установке лжепрограмм.
http://wiki.rosalab.ru/ru/index.php/ROSA_Freeze

Аватара пользователя
Delles
Сообщения: 1785
Зарегистрирован: 18 авг 2015, 19:52
Operating system: GNU/Linux : ROSA Desktop Fresh R7 (x86_64). Не обновлял.

Re: Проблемы с безопасностью

Сообщение Delles » 25 мар 2016, 11:40

-=KabaL=- писал(а):Нужно не забывать , а смотреть расширения файлов.
Подменить иконку любого расширения не сложно , особенно для скриптов и тому подобной нечести.
Расширение файла в Линуксе не имеет особого значения. Файл может быть исполняемым без всякого расширения. И скрипты — это совсем не нечисть, если из Линукса убрать все скрипты, он просто не будет работать.
Talk is cheap. Show me the code.
Linus Torvalds

Аватара пользователя
Алзим
Сообщения: 4522
Зарегистрирован: 18 июн 2015, 11:57
Operating system: ROSA Desktop Fresh R11
Откуда: Интернет

Re: Проблемы с безопасностью

Сообщение Алзим » 25 мар 2016, 11:42

-=KabaL=- писал(а): Нужно не забывать , а смотреть расширения файлов.
Исполняемые файлы в Дельфине не должны запускаться простым нажатием мыши. Такого нет даже в Експлорере.

Аватара пользователя
Delles
Сообщения: 1785
Зарегистрирован: 18 авг 2015, 19:52
Operating system: GNU/Linux : ROSA Desktop Fresh R7 (x86_64). Не обновлял.

Re: Проблемы с безопасностью

Сообщение Delles » 25 мар 2016, 11:43

trs писал(а):А что способен сделать маскирующийся под configure зловред без прав админа? Всего-то сотрёт какие-нибудь файлики пользователя, зато система останется цела. :)
Он может спустить весь дом в шреддер. А дом для пользователя обычно важнее системы.
Talk is cheap. Show me the code.
Linus Torvalds

Аватара пользователя
Delles
Сообщения: 1785
Зарегистрирован: 18 авг 2015, 19:52
Operating system: GNU/Linux : ROSA Desktop Fresh R7 (x86_64). Не обновлял.

Re: Проблемы с безопасностью

Сообщение Delles » 25 мар 2016, 11:44

Алзим писал(а):Исполняемые файлы в Дельфине не должны запускаться простым нажатием мыши
Это невозможно. У Вас тогда ничего вообще запускаться не будет из Дельфина.
Talk is cheap. Show me the code.
Linus Torvalds

Аватара пользователя
Алзим
Сообщения: 4522
Зарегистрирован: 18 июн 2015, 11:57
Operating system: ROSA Desktop Fresh R11
Откуда: Интернет

Re: Проблемы с безопасностью

Сообщение Алзим » 25 мар 2016, 11:50

Delles писал(а): А дом для пользователя обычно важнее системы.
Конечно важнее. Там вся информация пользователя.
А систему за 15 минут можно переустановить.
Да и хакеру, наверное, параметры системы нужны только для того, чтобы добраться до Хомяка. А если у хакера прямой доступ к Хомяку, то и ему система ненужна.
Delles писал(а): Это невозможно. У Вас тогда ничего вообще запускаться не будет из Дельфина.
На Винде это возможно. Дельфин прекрасно видит исполняемые файлы и зачем-то запускает их без предупреждения.

trs
Сообщения: 1939
Зарегистрирован: 07 сен 2015, 16:08
Operating system: -

Re: Проблемы с безопасностью

Сообщение trs » 25 мар 2016, 12:00

Алзим писал(а):
Delles писал(а): А дом для пользователя обычно важнее системы.
Конечно важнее. Там вся информация пользователя.
Это уже разговор об просчётах в дизайне (в лучшем случае — конфигурировании) системы безопасности, которая выставляет пользователя как Самого Себе Злобного Буратина... Можно и из mc случайно нажать, не обязательно самому, вдруг в дополнение к мышке есть ещё и кошка.

Аватара пользователя
Delles
Сообщения: 1785
Зарегистрирован: 18 авг 2015, 19:52
Operating system: GNU/Linux : ROSA Desktop Fresh R7 (x86_64). Не обновлял.

Re: Проблемы с безопасностью

Сообщение Delles » 25 мар 2016, 12:13

Алзим писал(а):На Винде это возможно. Дельфин прекрасно видит исполняемые файлы и зачем-то запускает их без предупреждения.
Включения какого-то предупреждения, вероятно, несложно прикрутить, но это предупреждение будет выводиться при запуске любого исполняемого файла, т.е. при запуске всего, что запускается из Дельфина. А возможность запуска программы из Дельфина кликанием мышки невозможно считать подрывом безопасности. Мне, например, очень удобно, что скрипт можно запустить, кликнув по нему мышкой. Но я бы был рад, если бы значки исполняемых файлов и неисполняемых визуально различались.
Talk is cheap. Show me the code.
Linus Torvalds

Аватара пользователя
Delles
Сообщения: 1785
Зарегистрирован: 18 авг 2015, 19:52
Operating system: GNU/Linux : ROSA Desktop Fresh R7 (x86_64). Не обновлял.

Re: Проблемы с безопасностью

Сообщение Delles » 25 мар 2016, 12:15

trs писал(а):Это уже разговор об просчётах в дизайне
Вот я так и думаю. Но пока не видел нигде, кроме консоли (Konsole), чтобы исполняемые и неисполняемые файлы визуально различались.
Talk is cheap. Show me the code.
Linus Torvalds

trs
Сообщения: 1939
Зарегистрирован: 07 сен 2015, 16:08
Operating system: -

Re: Проблемы с безопасностью

Сообщение trs » 25 мар 2016, 12:17

Delles писал(а):я бы был рад, если бы значки исполняемых файлов и неисполняемых визуально различались.
Может быть даже следует их не вперемешку отображать.

Аватара пользователя
Алзим
Сообщения: 4522
Зарегистрирован: 18 июн 2015, 11:57
Operating system: ROSA Desktop Fresh R11
Откуда: Интернет

Re: Проблемы с безопасностью

Сообщение Алзим » 25 мар 2016, 12:18

Радует только одно, что в новом Дельфине (версия 15.12.3), который используется в KDE5, данная проблема решена.
Там и исполняемый файл отмечается, и подписывается, и предупреждение появляется.
Вложения
Снимок_20160325_121031.png

Аватара пользователя
Delles
Сообщения: 1785
Зарегистрирован: 18 авг 2015, 19:52
Operating system: GNU/Linux : ROSA Desktop Fresh R7 (x86_64). Не обновлял.

Re: Проблемы с безопасностью

Сообщение Delles » 25 мар 2016, 12:24

Алзим писал(а):Радует только одно, что в новом Дельфине (версия 15.12.3), который используется в KDE5, данная проблема решена. Там и исполняемый файл отмечается, и подписывается, и предупреждение появляется.
На мой взгляд это не решение, т.к. я при запуске первой же программы отметил бы «Больше не задавать этот вопрос» и выбрал бы «Запустить», потому что из Дельфина запускаю регулярно довольно много чего. А вот если бы значок исполняемого файла визуально отличался, было бы понятно, что, когда нужно не запустить, а открыть, нужно не кликать, а выбрать «Открыть в…». Впрочем, сейчас нажатие пробела — спасибо adeptru за подсказку — этот вопрос для меня решает: исполняемый скрипт открывается во вьюере.
Talk is cheap. Show me the code.
Linus Torvalds

Аватара пользователя
Алзим
Сообщения: 4522
Зарегистрирован: 18 июн 2015, 11:57
Operating system: ROSA Desktop Fresh R11
Откуда: Интернет

Re: Проблемы с безопасностью

Сообщение Алзим » 25 мар 2016, 12:34

Delles писал(а):А вот если бы значок исполняемого файла визуально отличался, было бы понятно, что, когда нужно не запустить, а открыть, нужно не кликать, а выбрать «Открыть в…»./quote]
Внимательно на скрин посмотрите и на то, что я написал. Исполняемые файлы там — это отдельный значок.
Delles писал(а):Впрочем, сейчас нажатие пробела — спасибо adeptru за подсказку — этот вопрос для меня решает: исполняемый скрипт открывается во вьюере.
Ага. Воспользовался я этим советом.
Файл сначала исполнился, а только потом открылся в вьюере.

Аватара пользователя
Delles
Сообщения: 1785
Зарегистрирован: 18 авг 2015, 19:52
Operating system: GNU/Linux : ROSA Desktop Fresh R7 (x86_64). Не обновлял.

Re: Проблемы с безопасностью

Сообщение Delles » 25 мар 2016, 12:41

Алзим писал(а):Файл сначала исполнился, а только потом открылся в вьюере.
У меня просто открывается во вьюере, не исполняясь. Сейчас опробовал и на своих скриптах, и на приобретенных извне. Но если так работает не во всякой среде, значит визуальное различение еще желательнее.
Talk is cheap. Show me the code.
Linus Torvalds

Аватара пользователя
Delles
Сообщения: 1785
Зарегистрирован: 18 авг 2015, 19:52
Operating system: GNU/Linux : ROSA Desktop Fresh R7 (x86_64). Не обновлял.

Re: Проблемы с безопасностью

Сообщение Delles » 25 мар 2016, 12:48

Но вообще-то предполагать, что файл configure будет неисполняемым, неправильно: обычно он исполняемый.
Talk is cheap. Show me the code.
Linus Torvalds

keleg
Сообщения: 5508
Зарегистрирован: 15 сен 2011, 01:58

Re: Проблемы с безопасностью

Сообщение keleg » 25 мар 2016, 12:52

гм. мне вот не приходило в голову запускать файлы из Dolphin. :-) Либо меню, либо уж консоль.

Аватара пользователя
Алзим
Сообщения: 4522
Зарегистрирован: 18 июн 2015, 11:57
Operating system: ROSA Desktop Fresh R11
Откуда: Интернет

Re: Проблемы с безопасностью

Сообщение Алзим » 25 мар 2016, 12:54

keleg писал(а):гм. мне вот не приходило в голову запускать файлы из Dolphin. :-) Либо меню, либо уж консоль.
А я тоже не собирался запускать.
Я хотел посмотреть содержимое файла в текстовом редакторе, а вместо просмотра файл запустился.

Аватара пользователя
Delles
Сообщения: 1785
Зарегистрирован: 18 авг 2015, 19:52
Operating system: GNU/Linux : ROSA Desktop Fresh R7 (x86_64). Не обновлял.

Re: Проблемы с безопасностью

Сообщение Delles » 25 мар 2016, 13:10

Алзим писал(а):Я хотел посмотреть содержимое файла в текстовом редакторе, а вместо просмотра файл запустился.
Так ведь исполняемые файлы при клике по ним исполняются, это их нормальное поведение. Было бы странно, если бы он при клике по нему открылся в kwrite. То, что это файл скрипта, видно, и то, что он извлечен из *nix-ового архива, обыкновенно означает то, что он исполняемый, т.к. так распространяются рабочие программы.
Talk is cheap. Show me the code.
Linus Torvalds

Аватара пользователя
Delles
Сообщения: 1785
Зарегистрирован: 18 авг 2015, 19:52
Operating system: GNU/Linux : ROSA Desktop Fresh R7 (x86_64). Не обновлял.

Re: Проблемы с безопасностью

Сообщение Delles » 25 мар 2016, 13:18

keleg писал(а):гм. мне вот не приходило в голову запускать файлы из Dolphin. :-) Либо меню, либо уж консоль.
Если результатом работы скрипта является нечто выводимое на экран в графике, то его удобнее запускать из Дельфина. Например, запуск программы briss для обрезки полей у pdf’ов (я ее начал использовать еще до того, как ее включили в репозиторий). Я ее запускаю скриптом

Код: Выделить всё

#!/bin/bash
java -jar ~/.briss-0.9/briss-0.9.jar
кликая по нему мышкой.
Talk is cheap. Show me the code.
Linus Torvalds

Аватара пользователя
Алзим
Сообщения: 4522
Зарегистрирован: 18 июн 2015, 11:57
Operating system: ROSA Desktop Fresh R11
Откуда: Интернет

Re: Проблемы с безопасностью

Сообщение Алзим » 25 мар 2016, 13:24

Delles писал(а): Так ведь исполняемые файлы при клике по ним исполняются, это их нормальное поведение.
Я уже писал выше.
Это ненормальное поведение. Такого нет даже в Винде. Дельфин должен был меня предупредить, как он это делает в версии 15.12.3.
Я простой пользователь и не умею различать каждый файлик.
И даже предполагая, что данный файл может быть исполняемый, я был уверен в защищённости Линукса. В том, что ничего просто так не запуститься.

Аватара пользователя
Delles
Сообщения: 1785
Зарегистрирован: 18 авг 2015, 19:52
Operating system: GNU/Linux : ROSA Desktop Fresh R7 (x86_64). Не обновлял.

Re: Проблемы с безопасностью

Сообщение Delles » 25 мар 2016, 13:28

Алзим писал(а):просто так не запуститься.
Да, видимо, решение в том, чтобы было так, как в новой плазме: с выводом предупреждения, которое в то же время можно раз и навсегда отменить.
Talk is cheap. Show me the code.
Linus Torvalds

Аватара пользователя
Алзим
Сообщения: 4522
Зарегистрирован: 18 июн 2015, 11:57
Operating system: ROSA Desktop Fresh R11
Откуда: Интернет

Re: Проблемы с безопасностью

Сообщение Алзим » 25 мар 2016, 13:31

Delles писал(а):которое в то же время можно раз и навсегда отменить.
А можно и не отменять.
И может быть даже где-то в настройках есть как отменить отменение.

notauser
Сообщения: 1254
Зарегистрирован: 06 май 2012, 21:00

Re: Проблемы с безопасностью

Сообщение notauser » 25 мар 2016, 19:22

Это старая история. Разработчиков "швыряло" туда-сюда. То исполняемые текстовые файлы не запускались, а открывались, то наоборот. :) И судя по всему, при обилии всяких настроек, так и не сделали нечто подобное
gkrellShoot_file.png

trs
Сообщения: 1939
Зарегистрирован: 07 сен 2015, 16:08
Operating system: -

Re: Проблемы с безопасностью

Сообщение trs » 26 мар 2016, 08:33

Представим, что система обладает определённым интеллектом. Если оператор производит загрузку файлового архива, содержащего дерево исходников, то логично предположить, что следующими шагами будут конфигурирование и сборка. Если в имени архива openvpn встречается впервые, так же логично, что оператор перед запуском configure захочет его изучить, и при клике на configure может быть уместно меню с выбором "запустить/посмотреть". Если же при "посмотреть" содержимое будет открываться не с начала, а на месте с опциями конфигурирования, то это одним сэкономит время по поиску, а другим даст понять, что эти опции есть в наличии, иначе говоря — научиться.

И еще, как-то так:

Код: Выделить всё

man hier|egrep 'исполняемые|команды'
       /bin   Каталог, содержащий исполняемые программы, необходимые для работы в однопользовательском режиме и для запуска или ремонта системы.
       /sbin  Как и /bin, содержит команды, необходимые для запуска системы, но, как правило, не запускаемые обычными пользователями.

nube
Сообщения: 194
Зарегистрирован: 10 фев 2016, 21:57
Operating system: Rosa

Re: Проблемы с безопасностью

Сообщение nube » 26 мар 2016, 20:10

М..да...
Какая приятная фича "системе пофиг на расширение".
И главное - никаких проблем не создаёт....

notauser
Сообщения: 1254
Зарегистрирован: 06 май 2012, 21:00

Re: Проблемы с безопасностью

Сообщение notauser » 26 мар 2016, 20:47

Да. Не создает. Более того не предлагает скачать всякого разного и ничего никуда не отправляет. Реально плохо, да?
То ли дело в ОС, разработанной большой и авторитетной корпорацией. Там вообще нет таких проблем, и подобных вопросов никто не задает.

notauser
Сообщения: 1254
Зарегистрирован: 06 май 2012, 21:00

Re: Проблемы с безопасностью

Сообщение notauser » 26 мар 2016, 20:49

trs писал(а):...Если оператор производит загрузку файлового архива,...
А если оператор не оператор?
Я начинаю реально волноваться за отечественный хард :)

Аватара пользователя
Delles
Сообщения: 1785
Зарегистрирован: 18 авг 2015, 19:52
Operating system: GNU/Linux : ROSA Desktop Fresh R7 (x86_64). Не обновлял.

Re: Проблемы с безопасностью

Сообщение Delles » 26 мар 2016, 21:00

nube писал(а):М..да...
Какая приятная фича "системе пофиг на расширение".
И главное - никаких проблем не создаёт....
Системе не «пофиг на расширение», расширения в ней играют свою роль. Приятная фича — это способность системы различать файлы без расширений, потому что, если система этого не умеет, как этого не умеет Ws, то это может стать реальным кошмаром для пользователя, имею опыт. Отсутствие расширений в никсах, действительно, проблем не создает. То, что configure — это шелл-скрипт, видно совершенно отчетливо и без расширения. Если добавить .sh, ничего не изменится.
Talk is cheap. Show me the code.
Linus Torvalds

Аватара пользователя
Алзим
Сообщения: 4522
Зарегистрирован: 18 июн 2015, 11:57
Operating system: ROSA Desktop Fresh R11
Откуда: Интернет

Re: Проблемы с безопасностью

Сообщение Алзим » 26 мар 2016, 21:06


Флудильня сюда переехала?
Может всё-таки вернётесь в Курилку?

notauser
Сообщения: 1254
Зарегистрирован: 06 май 2012, 21:00

Re: Проблемы с безопасностью

Сообщение notauser » 26 мар 2016, 21:35

Вот вспомнил. Когда-то советовали в mime/type что-то cвязанное с x-executable поменять. Если кроме KDE ничего не использовать. Но это может быть вредным советом. Не помню. Но можете погуглить в этом направлении. :)

trs
Сообщения: 1939
Зарегистрирован: 07 сен 2015, 16:08
Operating system: -

Re: Проблемы с безопасностью

Сообщение trs » 27 мар 2016, 08:40

notauser писал(а):А если оператор не оператор?
Если подобным образом архив откроет пользователь, тогда может быть логичным предложение открыть браузер с подходящими ключами для поиска. Да и "рыбу" я подкинул, потому что с заголовком темы не согласен.

Ответить

Вернуться в «Обсуждение ROSA Fresh R4 - R8 (платформа 2014.1)»