URL: https://linuxfr.org/users/isnotgood/journaux/kiosque Title: Kiosque Authors: IsNotGood Date: 2008年01月11日T12:26:18+01:00 Tags: firefox et selinux Score: 0 Dan Walsh (avec l'aide d'autres évidemment) a fait un joli, mais surtout sûr, kiosque pour Linux. Un kiosque ou un compte anonyme. Ainsi votre bécane est accessible à tout le monde (voilà qui est dans l'esprit du libre :-). Tout le monde peut se logguer (que via [xg...]dm), il n'y a pas de mot de passe. On clique sur "x guest user" et voila. Jusqu'ici, ça n'a rien d'impression :-) Mais, le compte est sûr aussi pour les autres comptes. Imaginez que vous avez mis de document confidentiel dans /tmp pour le partagé avec d'autres utilisateurs (fichier peut-être lisible par tout le monde (mode o+r)). L'utilisateur du kiosque ne le verra pas. Il ne pourra pas non mettre des fichiers dans /tmp qui seraient vus par d'autres utilisateurs. xguest (c'est le nom du compte) a son propre /tmp, /var/tmp, etc. Les programmes suid ne sont pas accessibles par xguest. Si par "bêtise" ou convenance vous avez fait un "chmod o+r ~", ce n'est pas grave, xguest ne pourra pas lire ce qu'il y a chez vous. Le compte xguest est déduit à chaque logout et recréé à chaque login (il y a ainsi sécurité entre personnes qui utilisent le compte). Il peut être configurer pour autorisé Firefox a utiliser le réseau (uniquement le firefox installé sur la bécane, pas un firefox que l'utilisateur aurait downloadé). Il peut aussi supporté les périphérique amovible type usb pour que l'utilisateur anonyme sauvegarde ses donnés. Le compte xguest peut-être configuré par l'administrateur avec saboyon (si le compte utilise Gnome ce qui est actuellement le cas) : [http://www.gnome.org/projects/sabayon/](http://www.gnome.org/projects/sabayon/) Cerise sur le gateau, on peut aussi utiliser xguest depuis fast-user-switch-applet. Donc si on veut tester une applie douteuse, on bascule sur le compte xguest en 1 clique (voir 2 maxi). Ça utilise pam (pam_selinux_permit et pam_namespace notamment) et le génialissime SeLinux (c'est vendredi). Si SeLinux n'est pas en mode actif, le compte xguest n'est pas accessible. Plus de détails par Dan Walsh en personne : [http://danwalsh.livejournal.com/13376.html?thread=100672](http://danwalsh.livejournal.com/13376.html?thread=100672) Les utilisateurs de F8 peuvent tester ça avec, par exemple, un "yum install xguest".