iBase.ru Forum

Сделал так чтобы сервер запускался от своей, ограниченной учетной записи, которой доступны только каталог сервера и каталог БД. При этом стал недоступен Firebird server control в Панели управления. Может есть какие-то ньюансы для запуска сервера от своей учетной записи?

Да и плюнь на этот контрол. Все равно он глючный. Неужели не умеешь MMC?

если залез в панель управления, почему бы не залезть в администрирование, сервисы?

Quasar писал(а):Сделал так чтобы сервер запускался от своей, ограниченной учетной записи,

а зачем, собстно? чем не нравился запуск от системной учетки?

если залез в панель управления, почему бы не залезть в администрирование, сервисы?

Нет проблем. Просто хотел уяснить: должно ли так быть на самом деле или я что-то криво сделал.

а зачем, собстно? чем не нравился запуск от системной учетки?

Того требуют соображения безопасности, чтоб, например, никто не смог навредить, запустив подложную UDF.

Quasar писал(а): Того требуют соображения безопасности, чтоб, например, никто не смог навредить, запустив подложную UDF.

антыресно, как ее тебе подложат, если доступ к каталогу с UDF только для локальных пользователей?
ежели, канешна ты ее не расшарил
и как ее запустят, не зная имя пользователя для БД и пароля?

stix-s писал(а): антыресно, как ее тебе подложат, если доступ к каталогу с UDF только для локальных пользователей?
ежели, канешна ты ее не расшарил
и как ее запустят, не зная имя пользователя для БД и пароля?

А на всякий случай, лишний рубеж на пути злоумышленников не помешает. Зачем давать серверу лишние, не нужные ему привелегии.

Quasar писал(а): А на всякий случай, лишний рубеж на пути злоумышленников не помешает. Зачем давать серверу лишние, не нужные ему привелегии.

Есть у тебя реальный пример по подмене и выполнению каверзной UDF?
А то я что-то сам придумать не могу

stix-s писал(а): Есть у тебя реальный пример по подмене и выполнению каверзной UDF?
А то я что-то сам придумать не могу

У меня нет.

Есть у тебя реальный пример по подмене и выполнению каверзной UDF?

есть старый пример, который на нынешних серверах при правильном администрировании невозможен:
1. злоумышленник узнает каталог установки IB/FB
2. создает external table с именем somename.dll в каталоге udf
3. заливает в external table код dll
4. декларирует udf на базе залитой dll
5. вызывает "вражескую" udf.

это было возможно на версиях, когда не было запрета на расположение external tables, и еще хуже когда не было явного указания размещения udf.
сейчас закинуть udf на сервер таким образом нельзя.

kdv писал(а): есть старый пример, .......

но согласись, для для выполнения данной операции необходимо получить доступ к каталогу FB либо локально, либо удаленно, но это уже правильное администрирование Win или nix для исключения подобного.
и даже если все это удалось, то как в данном случае поможет запуск сервера FB от ограниченной учетки?

stix-s писал(а):

Quasar писал(а): А на всякий случай, лишний рубеж на пути злоумышленников не помешает. Зачем давать серверу лишние, не нужные ему привелегии.

Есть у тебя реальный пример по подмене и выполнению каверзной UDF?
А то я что-то сам придумать не могу

Вражья УДФ может возникнуть и не по особо злому умыслу, а может просто от кривизны рук программера, если админ и программер это 2(а может и больше) разных человека, то совсем не лишне запускать ФБ от собственной учетной записи, что под линуксом сделано по-умолчанию давным-давно и ни у кого уже вопросов по этому поводу не возникает. Даже более того сервисы предоставляемые наружу сажаются в ченжрут песочницу ака апач или бинд. Вобчем коллега stix-s, я вас тут непонимаю.

Ivan_Pisarevsky писал(а): Вобчем коллега stix-s, я вас тут непонимаю.

Возможно это я чего-то не понимаю.
итак, сервис сервера запущен от ограниченной учетки, запущена "вражеская" UDF соответственно с правами того пользователя, что и у сервиса - чем это спасет данные в базе от "искореживания"? ежели права доступа к БД определяются внутренними пользователями ФБ/ИБ.
Если имеется в виду, что UDF помимо работы с БД еще что-то творит с ФС (файлы трет или еще как-либо гадит) тогда понятно.

stix-s писал(а):но согласись, для для выполнения данной операции необходимо получить доступ к каталогу FB либо локально, либо удаленно

Не соглашаюсь. Доступ нужен только к FB.
UDF - это, в принципе, любая программа. И делать она на сервере может что угодно, конечно, в рамках прав доступа пользователя, от имени которого запущен FB.

для для выполнения данной операции необходимо получить доступ к каталогу FB либо локально, либо удаленно,

зачем? в описанном мной примере никакой доступ к каталогу не нужен, все делает сервер под своим эккаунтом.

то как в данном случае поможет запуск сервера FB от ограниченной учетки?

я и говорю, что никак не поможет. спец. учетная запись спасает от как раз доступа к каталогу МИМО сервера.
на всякий случай напомню, что во всех свежих серверах есть external_file_directory который надо конфигурить, а в FB 1.5/2.0 доступ к внешним таблицам вообще запрещен по умолчанию. То есть, описанная мной ситуация на нынешних версиях серверов возможна только если админ даст полный доступ по внешним таблицам в конфиге сервера.

kdv писал(а): зачем? в описанном мной примере никакой доступ к каталогу не нужен, все делает сервер под своим эккаунтом.

WildSery писал(а): Не соглашаюсь. Доступ нужен только к FB.

Да, я понял идею, но до подобного изврата сам вряд ли додумался бы.
Чем больше знаешь, тем лучше понимаешь, что нифига не знаешь