Witam, ostatnimi czasy wykłócam się z nauczycielem systemów i sieci na temat zabezpieczeń windowsa, twierdzi on bowiem że nawet zwykły użyszkodnik może zablokować dostęp do pliku dla wszystkich innych użyszkodników w tym administratora.

Zablokować tzn. :
- Brak możliwości odczytu, zapisu, modyfikacji pliku
- Brak możliwości odczytu uprawnień
- Brak możliwości zmiany uprawnień

Tak o ile pierwsze dwa punkty można łatwo załatwić tak trzeci już nie, nawet po odebraniu wszystkich praw administratorowi mogę przejąć plik na własność po czym dodać sobie uprawnienia pozwalające na odczyt, zapis etc. - co za tym idzie obalam teorie mojego nauczyciela, jestem w trakcie tworzenia drugiej prezentacji na ten temat (on je bardzo lubi). Na pierwszej czepił się, że udało mi się zmienić uprawnienia tylko dlatego, że plik nie był w folderze Moje dokumenty (gdzie nie widzę żadnej różnicy - folder jak folder).

Fakt jego teoria, że nawet admin nie będzie miał dostępu powinna się sprawdzić, lecz to windows...

Jego teoria:
- Gdy plik jest w Moich dokumentach i edytuję uprawnienia (tylko ja będę miał dostęp), wyłączę dziedziczenie uprawnień to nikt nie będzie miał dostępu
- Administrator tak zabezpieczony plik/folder może usunąć jedynie podczas usuwania całego konta danego użytkownika!

System: Windows XP Professional SP3

A teraz moje pytanie: czy w linuxie zwykły user może zabezpieczyć plik/katalog w taki sposób, aby nawet root nie mógł się do niego dobrać?

Jedyna możliwość zrobienia tego tricku to szyfrowanie katalogu domowego. Bo admin może wszystko.

Na windzie zaproponowałem TopSecret jako dość skuteczne zabezpieczenie.

Ja to wiem i Ty to wiesz, ale mój nauczyciel nie.

Nie do końca. Z tego, co pamiętam, to główny administrator systemu ma uprawnienia inspektora zabezpieczeń (jakoś tak się to nazywało) i domyślnie ma on dostęp do zaszyfrowanych przez innych użytkowników danych. Nie mam 100% pewności, moja pamięć może być zawodna. Aha, musi to być administrator tej konkretnej instalacji systemu operacyjnego, gdyż na każdym komputerze wygenerowane certyfikaty-klucze są inne.


Root nie byłby rootem, gdyby nie mógł.

Tylko szyfrowanie bazujące na zewnętrznym rozwiązaniu będą niedostępne dla Opa.

Miałem na myśli szyfrowanie hasłem. Coś w stylu FileVault, admin nie zna hasła więc nie otworzy zaszyfrowanego folderu. Poza tym nawet jakbyś szyfrował certyfikatem to tylko ty masz hasło do klucza, bo one też są przecież szyfrowane hasłem.

Jeżeli jest tak jak mówisz to to jest żart a nie szyfrowanie i służy raczej to ukrywania pornoli przed mamą niż profesjonalnego zabezpieczania danych.

Także na pewno nie masz racji. Jeżeli byś miał to znaczy, że osoba nie znająca kodu dostępu może zobaczyć Twoje dane, a to nie spełnia żadnych wymogów. A to, że to musi być admin... każdy kto ma fizyczny dostęp to Twojego kompa, może go włączyć i wyłączyć, może być adminem, wiec prosta logika - każdy może mieć dostęp do Twoich danych.

// edit: FileVault jest systemowym rozwiązaniem. Na linuxie też kiedyś robiłem takie bajery za pomocą systemowych rozwiązań.

Nie od dzisiaj wiadomo, że resetowanie haseł w systemach Windows NT nie jest niczym trudnym. Więc to, czy admin ma do tego uprawnienia, czy nie - nie ma znaczenia, bo można przecież zresetować hasło do konta<->klucza.

No, przypomniałem sobie, jak to się nazywało: agent odzyskiwania danych: http://technet.microsoft.com/pl-pl/library...874(WS.10).aspx

No ok, to ma sens.

Przy porządnej konfiguracji też żaden idiota nie przechowuje certyfikatu na dysku, więc problemu z bezpieczeństwem nie ma.

Ale to tylko tym bardziej potwierdza regułę, że admin może wszystko.

O ile wiem, w innych systemach takiej roli nie ma, dzieki której można by odzyskać zaszyfrowane dane innych użytkowników.

A root w uniksach? Wiem, wiem, tylko wg kwestii uprawnień.

Ale jeśli chodzi o Windows, to przecież można w ten sposób przyznać uprawnienia dla kilku kont dla tego samego zaszyfrowanego obiektu. Nikt chyba nie zostawia złożonej armaty na polu bitwy, trzeba najpierw ją rozłożyć, aby dobrze działała. (czytaj: wszystko trzeba skonfigurować)

Wiesz jak to jest z szyfrowaniem? Potrzeba hasła, żeby coś rozszyfrować. Jeżeli nie masz hasła, nic nie zdziałasz. Więc jeżeli system tego hasła nie zapamiętuje, a zazwyczaj tego nie robi, to root wiele nie zdziała.

Nie wiem jak oni to zrobili w windowsie, ale podejrzewam, że system zapamiętuje hasło i szyfruje je certfikatem. Gdy chcesz dodać powiernika danych po prostu kopia hasła jest szyfrowana jego certyfikatem. W ten sposób i wilk jest syty (admin może wszystko) i owca cała (dane są dla osób trzecich nietykalne).

Ale wracając do tematu: zajżyj do źródeł linuksa i tam poszukaj odpowiedzi. Np. w pliku fs/attr.c jest linijka odpowiedzialna za przeskoczenie sprawdzania uprawnień w przypadku ustawienia flagi FORCE czy jakoś tak. Nie wiem kiedy jest ona ustawiana, ale pewnie sprawa z roota tutaj jest gdzieś wmieszania. Również glibc oraz same źródła polecenia chmod mogą ujawnić dowody na Twoją tezę. Niestety na windowsie tego nie udowodnisz.

Wiesz jak to jest z szyfrowaniem? Potrzeba hasła, żeby coś rozszyfrować. Jeżeli nie masz hasła, nic nie zdziałasz. Więc jeżeli system tego hasła nie zapamiętuje, a zazwyczaj tego nie robi, to root wiele nie zdziała.

Nie wiem jak oni to zrobili w windowsie, ale podejrzewam, że system zapamiętuje hasło i szyfruje je certfikatem. Gdy chcesz dodać powiernika danych po prostu kopia hasła jest szyfrowana jego certyfikatem. W ten sposób i wilk jest syty (admin może wszystko) i owca cała (dane są dla osób trzecich nietykalne).

Ale wracając do tematu: zajżyj do źródeł linuksa i tam poszukaj odpowiedzi. Np. w pliku fs/attr.c jest linijka odpowiedzialna za przeskoczenie sprawdzania uprawnień w przypadku ustawienia flagi FORCE czy jakoś tak. Nie wiem kiedy jest ona ustawiana, ale pewnie sprawa z roota tutaj jest gdzieś wmieszania. Również glibc oraz same źródła polecenia chmod mogą ujawnić dowody na Twoją tezę. Niestety na windowsie tego nie udowodnisz.

//edit
Jestem zajebisty. Dodałem dwie takie same odpowiedzi pod sobą, tak, że nie połączyły się całość i ominąłem przy tym filtr antyspamowy. n00bs