Personellement j'apprécie beaucoup l'approche des capabilities déjà existantes, qui permettent d'agir sans passer par le code source (celui qui fait le code n'est pas forcément celui qui met les autorisations). Et cela agis par augmentation des privilèges : on exécute l'application avec un utilisateur sans aucun droit et l'appli n'a que les droit qui lui sont donné par les capabilities. De plus les capabilities peuvent être définis en amon au sein même du projet contrairement à SELinux (AppArmor, TOMOY, etc) qui est vraiment lié à une installation donnée.
L'exemple que j'aimais bien c'est ping, qui est souvent exécuté avec le bit setuid root ! Si on lui donne la capabilities CAP_NET_RAW (et peut être une autre), on peut lui enlever ce bit et c'est déjà pas mal je trouve.
Tous les contenus que j'écris ici sont sous licence CC0 (j'abandonne autant que possible mes droits d'auteur sur mes écrits)
[^] # Re: Restreindre les droits utilisateurs ou avoir un utilisateur avec certains droits admins?
Posté par barmic . En réponse à la dépêche Capsicum, une séparation fine des privilèges pour UNIX. Évalué à 3.
Je me pose un peu les même questions.
Personellement j'apprécie beaucoup l'approche des capabilities déjà existantes, qui permettent d'agir sans passer par le code source (celui qui fait le code n'est pas forcément celui qui met les autorisations). Et cela agis par augmentation des privilèges : on exécute l'application avec un utilisateur sans aucun droit et l'appli n'a que les droit qui lui sont donné par les capabilities. De plus les capabilities peuvent être définis en amon au sein même du projet contrairement à SELinux (AppArmor, TOMOY, etc) qui est vraiment lié à une installation donnée.
L'exemple que j'aimais bien c'est ping, qui est souvent exécuté avec le bit setuid root ! Si on lui donne la capabilities CAP_NET_RAW (et peut être une autre), on peut lui enlever ce bit et c'est déjà pas mal je trouve.
Tous les contenus que j'écris ici sont sous licence CC0 (j'abandonne autant que possible mes droits d'auteur sur mes écrits)