C'est pas mal leur truc, mais c'est loin d'être aussi fiable que ce que fait GNU. Je m'explique: sous OpenBSD, login (ou ftpd, ou sshd) ne tourne pas en root, mais peut appeler setuid() en root. Si un buffer overflow (ou équivalent) est trouvé dans le programme, il ne pourra certes plus créer directement un shell root, mais il pourra appeler setuid() puis se transformer un shell root; la sécurité n'a donc été que très légèrement accure.
Pour les programmes qui ont juste besoin de binder un port (comme Apache), ça permet d'éviter de les lancer en root, de réaliser les opérations prioritaires puis d'abandonner les privilèges root, c'est mieux, mais encore une fois, ça ne change pas fondamentalement la sécurité.
Même pour une commande comme mount par exemple, si on trouve un trou dans mount, en lui faisant monter un loopback une image contenant un shell suidé root, on peut avoir un shell root alors que pourtant mount n'est autorisé qu'à faire le syscall mount() en root.
Donc oui, c'est toujours mieux que rien, ça élimine certains risques, et ça permet de rendre la tâche un peu plus difficile pour un "attaquant", mais fondamentalement, ça ne change que la taille des mailles du filet.
[^] # Re: privileges ... élévation
Posté par Gaël Le Mignot . En réponse à la dépêche privileges ... élévation. Évalué à 1.
Pour les programmes qui ont juste besoin de binder un port (comme Apache), ça permet d'éviter de les lancer en root, de réaliser les opérations prioritaires puis d'abandonner les privilèges root, c'est mieux, mais encore une fois, ça ne change pas fondamentalement la sécurité.
Même pour une commande comme mount par exemple, si on trouve un trou dans mount, en lui faisant monter un loopback une image contenant un shell suidé root, on peut avoir un shell root alors que pourtant mount n'est autorisé qu'à faire le syscall mount() en root.
Donc oui, c'est toujours mieux que rien, ça élimine certains risques, et ça permet de rendre la tâche un peu plus difficile pour un "attaquant", mais fondamentalement, ça ne change que la taille des mailles du filet.