> Si toutes les partitions sur lequel un utilisateur peut écrire sont montées en
noexec, c'est déjà un premier pas.
Bha il ecrira son code en Perl :-)
> devenir root.
Dans une configuration ordinaire c'est perdu.
Autrement ce que tu cherches a faire c'est du SELinux, utiliser le module RBAC de grsec ou creer une police MAC pour FreeBSD. Tous permettent d'outre passer l'idée du root tout puissante d'UNIX et de limiter les actions des acteurs dans le système.
Et bien entendu en cas de faille noyau c'est game over dans tout les cas.
Le point critique de ton truc est "Comment je fais les mises a jour" ? Si on peut reproduire l'attaque pendant la mise a jour ca n'a que peu d'interet. Il est aussi a reflechir si le cout impliqué n'est pas superieur a avoir un master que l'on replique periodiquement ou quelque chose du genre (on parle de postes clients la non ?).
[^] # Re: Bof
Posté par ckyl . En réponse au journal Espoir, quand tu nous tiens!. Évalué à 2.
noexec, c'est déjà un premier pas.
Bha il ecrira son code en Perl :-)
> devenir root.
Dans une configuration ordinaire c'est perdu.
Autrement ce que tu cherches a faire c'est du SELinux, utiliser le module RBAC de grsec ou creer une police MAC pour FreeBSD. Tous permettent d'outre passer l'idée du root tout puissante d'UNIX et de limiter les actions des acteurs dans le système.
Et bien entendu en cas de faille noyau c'est game over dans tout les cas.
Le point critique de ton truc est "Comment je fais les mises a jour" ? Si on peut reproduire l'attaque pendant la mise a jour ca n'a que peu d'interet. Il est aussi a reflechir si le cout impliqué n'est pas superieur a avoir un master que l'on replique periodiquement ou quelque chose du genre (on parle de postes clients la non ?).