> Именно так и надо делать! Пакетным менеджером должен рулить отдельный пользователь (запуск
> под root, установка под root, а вот загрузки и сборка в изолированном окружении под
> непривелег рованым пользователем), и только ему в случае Gentoo нужны права к
> инструментам разработчика. DAC именно для этого и нужен.А как насчет простого тезиса? Подлом этого юзера почти эквивалентен подлому рута, возможно даже более чем в 1 системе. Просто потому что тот юзер может произвольно патчить софт и конфигурацию оного, а потом все это от рута вкатится в систему - и, собственно, в этот момент атакующий сможет снять любые мыслимые сливки.
Конечно, есть некая вероятность что между этими этапами спалите что собралось что-то не то, но если для майнтайнера собирающего в бинарном дистре пару пакетов и знающего там каждый байт как облупленый я еще могу допустить, то гентушник ворочающий сотнями мегазов всего и вся, имхо, в этом плане абсолютно без шансов. В итоге получается лишний management overhead с какими-то странными приседаниями, а профит, собственно, в чем?
> Это не приколы, а разграничения доступа к интерпретаторам и средствам сборки на уровне DAC.
Системная камасутра на мое нескромное мнение.
> Это азы уровня школы, исполнение которых значительно повысит безопасность системы.
Я не думаю что вы бы вообще что-нибудь поняли в моей инсталляции. Естественно не имеющей ничего общего с этими приседаниями, и не факт что менее секурной чем ваше добро. Я общие идеи содрал у мадам руткитской, а то что запилил малость по своему - так можно, и чего? :)
> Речь идет о интерпретатора и их eval.
Я рассматриваю это как большой и жирный класс неприятных вулнов. Его малореально заткнуть, а поскольку это в конечном итоге оказывает влияние на то что будет собрано из софта - да какая разница под каким юзером крутится? :)
> Для portage есть и бинарные пакетным менеджеры. Система инициализации openrc-run
> бинарный интерпретатор, а вот netifrc пока проблемное расширение с ворохом eval скриптов.
Ну это в духе гентушников. Потом оказывается что в всех этих гомнопалках dhcp сервак рута получает, etc. Мегаскриптеры они такие.
