|
Раздел "Windows". Содержание:
Статьи:
 Как обойтись без прав root
Гости из будущего
Новости:
Новейшая версия Microsoft Windows Services for UNIX теперь распространяется бесплатно
Сиквел Windows должен быть занимательным
Обнаружена новая дыра в Windows
AMD разрабатывает исправление для самой серьезной уязвимости в Windows XP
Раздел "Windows". Статьи:
 | Как обойтись без прав root |
|
Суперпользовательский пароль может стать причиной конфликтов в любой организации. Большинство системных администраторов категорически против передачи пароля, даже если он требуется людям, отвечающим за обслуживание некоторых частей системы. Если такой системный администратор не знает как разрешить это противоречие, он может помешать людям выполнять их работу. Немало администраторов: раздают суперпользовательский пароль всем желающим, а затем плачутся окружающим на нестабильную работу системы. Система UNIX имеет широкие возможности для устранения необходимости отдавать административный пароль в чужие руки. В этом цикле статей мы всесторонне рассмотрим вопрос минимизации использования суперпользовательского аккаунта для выполнения целого ряда задач администрирования. В данной статье мы остановимся на методике объединения пользователей в административные группы.
Наиболее типичная ситуация выглядит так: младший администратор отвечает за администрирование определенной части системы. Под моим руководством состоит несколько администраторов DNS. Им не приходится устанавливать программное обеспечение, перекомпилировать ядро и вообще решать низкоуровневые административные задачи. Их задача – отвечать на запросы электронной почты, вносить изменения в файлы описания зон и после этого перезапускать named. Обычно, младшему администратору, недавно принятому на работу, кажется что для этого ему необходимы полномочия суперпользователя. Однако правильное использование механизма групп вкупе с несложным планированием позволят вам вообще отказаться от выдачи кому-либо суперпользовательского пароля. В этой статье мы воспользуемся групповой системой безопасности для администрирования файлов DNS зон. Подобная техника может применяться для управления многими другими составными частями системы.
UNIX подразделяет пользователей на группы, каждая группа состоит из людей, которые выполняют определенные административные функции. У вас может быть создана группа web, членами которой будут пользователи, имеющие право редактировать содержимое веб-страничек, или группа dns, в которую включены люди, администрирующие ваш DNS-сервер. В зависимости от используемой вами системы, она может как иметь, так и не иметь по умолчанию группы с подобными именами. Например, операционные системы NetBSD и OpenBSD создают при установке пользователя и группу с именем named, а FreeBSD называет их bind, во всех случаях они предназначены для использования сервером имен. Предопределенные группы и пользователи широко используются разнообразными системными программами. Например, веб-сервер обычно выполняется с правами пользователя www.
Для пользователей, которым нужен доступ к используемым этими программами файлам, нам необходимо создать отдельную группу. Однако у нас нет необходимости создавать пользователя с именем, совпадающим с названием этой группы. Информация о группах содержится в файле /etc/group. Каждая строка в этом файле состоит из четырех колонок, разделенных двоеточием.
В первой колонке содержится название группы. Название может быть любым, если вам хочется, назовите группу администраторов DNS-сервера «losers» (неудачники). Однако в целом разумно давать группе имя, соответствующее ее предполагаемому использованию, так если сегодня вы решите объединить администраторов почтового сервера в группу «xyzzy», то вспомните ли вы, для чего нужна эта группа, скажем, через шесть месяцев?
Поэтому всегда выбирайте название группы имеющее какой-то смысл.
Второе поле содержит зашифрованный пароль группы. Групповые пароли плохо защищены и их использование является небезопасным, поэтому большинство современных UNIX систем их вообще не поддерживают. Однако существует немало UNIX'ов, в которых они до сих пор применяются, поэтому мы о них и упоминаем. Вместо того, что бы оставлять это поле пустым, для его заполнения, мы воспользуемся символом «звездочка».
В третьем столбце хранится уникальный идентификатор группы (GID). Масса системных программ во FreeBSD пользуется именно идентификаторами, а не именами групп. Файл /etc/group сортируется в порядке возрастания GID.
В последнем поле содержится список имен пользователей, которые входят в группу. Для того что бы добавить пользователя в группу, просто добавьте его имя в этот список. Имена в списке отделяются друг от друга запятыми.
Для того что бы создать группу, вы должны выбрать число, которое будет ее уникальным идентификатором. Это число не должно использоваться другими пользователями и программами. Для таких групп, как создаваемая нами группа «dns», я обычно выбираю GID на единицу отличающийся от идентификатора родственной системной группы. Например во FreeBSD группа «bind» имеет идентификатор равный 53 (53-й порт используется для работы с сервером имен). Поэтому пусть создаваемая нами группа имеет GID, равный 54. В эту группу я добавлю пользователей «chris», «phil» и «michael», так что наша новая запись в файле /etc/group будет выглядеть следующим образом:
dns:*:54:chris,phil,michael
После того как мы отредактировали файл /etc/group, неплохо было бы проверить, не сделали ли мы ошибки. Для этого во FreeBSD включена утилита chkgrp, которая проверяет корректность файла /etc/group. Если ее запуск произошел без вывода на экран каких-либо сообщений, то все в порядке.
(Для того что бы не мучиться выбором уникального GID и вообще решить все проблемы разом, во FreeBSD существует утилита pw, которую удобно использовать для создания, удаления и модификации групп. Для создания аналогичной группы напечатайте:
pw groupadd dns -g 54 -M chris,phil,michael
Если вас не интересует номер GID группы (как меня например), то можно отказаться от использования ключа -g:
pw groupadd dns -M chris,phil,michael
Уверяю, что если вы даже мельком взглянете на man pw вы не останетесь внакладе. В операционной системе Linux так же имеется набор программ для управления пользователями и группами. Это утилиты useradd, usermod, userdel, groupadd, groupmod, groupdel. Их использование убережет вас от массы неприятностей. – прим. переводчика.)
Теперь, когда группа создана, ее можно использовать в качестве «владельца». Каждый файл в системе имеет владельцев – пользователя и группу. Вы можете узнать владельцев файла при помощи команды ls -l. Большинство неопытных администраторов обращают внимание только на владельца файла, забывая о «групповых» правах доступа.
# ls -l
total 29
-rw------- 1 root wheel 27136 Sep 14 09:36 file1
-rwxrwx--- 1 root wheel 1188 Sep 14 09:35 file2
#
Из этого листинга видно, что к файлу file1 может обратиться только суперпользователь. file2 может читать суперпользователь и все члены группы wheel. Более того, если вы присутствуете в группе wheel, то вам не обязательно становиться суперпользователем, для того что бы отредактировать (т.е. писать) этот файл. Просто откройте его в редакторе, и вперед!
Для изменения группы владельцев файла применяется команда chgrp (а так же более общая команда chown, в таком виде: chown :groupname filename – прим. переводчика):
# chgrp groupname filename
В BSD-системах wheel используется в качестве системной группы. Ее члены имеют право на использование пароля суперпользователя (имеется в виду, что при наличии этого пароля, пользователи группы wheel могут, воспользовавшись командой su повысить свои права до суперпользовательских – прим. переводчика). В большинстве случаев нет никакой необходимости давать доступ на запись для группы wheel, поскольку это резко противоречит принципу «минимальных привилегий». Аналогично, группа bind используется для выполнения программ DNS-сервера. Ему совершенно необязательно иметь возможность записи в файлы зон (разумеется если у вас не используется динамический DNS – прим. переводчика), поскольку иначе, если злоумышленник проникнет в ваш DNS-сервер, он сможет записать что-нибудь на диск. Этого нельзя допускать. Давайте рассмотрим следующую схему прав доступа, используемую для файлов зон на сайте blackhelicopters.org:
-rw-rw-r-- 1 mwlucas dns 486 Jun 7 10:14 blackhelicopters.org.db
Поскольку я главный администратор, я являюсь владельцем этого файла, кроме меня, все члены группы «dns» имеют возможность записи в этот файл. (На вашей системе в качестве владельца вы можете установить другого пользователя.) Таким образом члены группы «dns» имеют права для чтения и записи этого файла без использования пароля суперпользователя. И, наконец, этот файл может быть прочитан DNS-сервером (поскольку для всех пользователей системы установлен атрибут доступа на чтение – прим. переводчика).
Однако есть одна вещь, для которой все-таки необходимо знание пароля суперпользователя, он нужен для перезапуска DNS-сервера (так как без перезапуска сервер не узнает о произошедших изменениях в файле зоны – прим. переводчика). Простейшим решением проблемы будет перезапуск сервера по расписанию при помощи демона cron. Однако несмотря на это у администраторов DNS может остаться желание в определенных случаях перезапускать сервер вручную...
   
| Гости из будущего |
|
Одной из характерных примет интерфейса следующих версий Windows станет специальная стартовая панель. В альфа-версиях Longhorn она по умолчанию занимает правую часть экрана. В ней могут размещаться специальные приложения для доступа к всевозможной информации, начиная с часов или списка контактов и заканчивая встроенным RSS-агрегатором со списком новостей.
Немногие пользователи Windows знают, что обзавестись интересным приспособлением можно, не дожидаясь выхода Longhorn. Все края экрана в любой из последних версий Windows можно снабдить панелями, и для этого не придется устанавливать дополнительные приложения. Всё, что нужно, уже поддерживается операционной системой.
Сделать это легко. Возьмите в "Проводнике" какую-нибудь папку, например, "Мои документы", и перетащите её к нужному краю экрана. На появившейся панели будет отображаться содержимое этой папки. Этим, разумеется, её возможности не исчерпываются. Существуют специальные программы, работающие на таких панелях. Одна из самых известных - Google Toolbar, средство для поиска, не требующее открытия браузера.
Скачать программу Desktop Sidebar можно на этой странице. "Вес" дистрибутива от шести до семи с половиной мегабайт. Для работы программе требуется Windows XP.
Увы, таких программ немного, и до разнообразия Longhorn им далеко. Разработчики всевозможных программных "штучек", в изобилии встречающихся в интернете, почему-то не спешат осваивать стандартные возможности Windows.
Программа Desktop Sidebar, входящая в состав пакета TGT Soft Style XP, добавляет боковую панель в Windows XP. Все возможности, которыми, по слухам, будет обладать боковая панель в Longhorn, в ней реализованы сполна.
Во-первых, там есть часы и календарь, такие же как на всех скриншотах Longhorn. Панель интегрирована с Outlook и может отображать его список задач, содержимое почтового ящика и записки. Интеграции с ICQ, к сожалению, нет, но можно подключить контакт-лист MSN Messenger. В Desktop Sidebar встроены несложный RSS-агрегатор и несколько простых информеров: почта, погода, биржевые котировки. Кроме того, прямо оттуда можно управлять медиаплеером, будь то встроенный Windows Media Player или WinAmp.
Раздел "Windows". Новости:
| Новейшая версия Microsoft Windows Services for UNIX теперь распространяется бесплатно |
|
Корпорация Microsoft объявила о начале свободного распространения своего набора компонентов для организации взаимодействия Windows и UNIX-систем Windows® Services for UNIX (SFU). Теперь все желающие смогут бесплатно загрузить версию 3.5 данного пакета с веб-сервера Microsoft по адресу http://www.microsoft.com/windows/sfu/.
SFU 3.5 позволяет заказчикам максимально эффективно использовать имеющиеся у них UNIX-системы, одновременно сохраняя предоставляемые Windows преимущества в плане соотношения цены и производительности. Использование данного пакета позволяет выполнять UNIX-приложения под Windows, повышает производительность кроссплатформенных инструментальных средств и служб, расширяет возможности работы с командной строкой UNIX-системи унаследованные приложения на UNIX для поддержки веб-служб Microsoft® .NET. Высокая эффективность SFU 3.5 получила признание жюри конкурса LinuxWorld Product Excellence Awards, в котором данное решение вышло в финал в категории Best System Integration Solution («Лучшее ПО для интеграции систем»).
| Сиквел Windows должен быть занимательным |
|
Microsoft намерена приступить к тестированию новой версии Windows XP Media Center, специализированной операционной системы для персональных компьютеров, ориентированных на развлечения.
Редакция Media Center с кодовым названием Symphony должна появиться в этом году на ПК нового типа. Недавно Microsoft предложила ее раннюю версию бета-тестерам. «Мы приступаем к начальной стадии бета-тестирования», — сообщила CNET News.com продакт-менеджер отделения Microsoft eHome Меган Кидд.
Media Center и Tablet PC, еще одна специальная версия Windows ХР, особенно важны для Microsoft, учитывая, что выхода следующей капитальной версии Windows — Longhorn — ждать еще не один год. Компания сообщила, что в этом году она планирует выпустить новую версию Tablet PC с кодовым названием Lonestar.
Что касается основных версий Windows ХР, то в этом году появится только сервисный пакет с усиленными средствами безопасности и другими умеренными изменениями.
Аналитик Jupiter Research Майкл Гартенберг считает, что роль Media Center в проектах Microsoft для домашних пользователей повысится. «В ближайшие полтора года какой-то из вариантов ОС Windows Media Center станет потребительской операционной системой», — говорит он.
Media Center включает все функции Windows ХР плюс дополнительный интерфейс — им можно управлять посредством пульта дистанционного управления для воспроизведения музыки, просмотра цифровых фотографий и приостановки или записи телепрограмм. Когда Microsoft выпустила этот продукт впервые, поддерживающие его модели ПК предложили только HP и Samsung. Теперь его освоили другие крупные производители, такие как Toshiba, Sony и Dell, к тому же он перебрался и на лаптопы.
Разница в стоимости между ПК-медиацентром и стандартными настольными компьютерами сокращается, так что некоторые развлекательные ПК оказались в сегменте рынка «до 1000 долл.». Такие устройства выпускает все больше производителей во все более широком спектре форм и размеров.
Тестирование Symphony начинается вскоре после выпуска ее предшественника Windows XP Media Center 2004, который был анонсирован в сентябре прошлого года. А первая версия этой ОС дебютировала в конце 2002 года.
Производители ПК стремятся наделять свои продукты новыми развлекательными функциями. Рейды в мир потребительской электроники совершили Gateway, Dell, Hewlett-Packard и другие компании — они стараются сделать свои компьютеры центром управления всеми остальными домашними цифровыми устройствами.
Ожидается, что в Symphony Microsoft добавит поддержку новых аппаратных продуктов, которые позволят владельцам Media Center рассредоточить свой контент по дому и брать его с собой в дорогу. Через такие дополнения к медиацентру можно будет, например, смотреть передаваемые по беспроводной сети телепрограммы. А портативные медиацентры — носить с собой вместе с музыкой, видео и фотографиями. Обе категории продуктов должны появиться в этом году к сезону летних каникул.
«Эти устройства создают очень мощную экосистему для потребительского контента дома и в дороге», — говорит Гартенберг, отмечая, что Microsoft предлагает больше гибкости, чем производители систем потребительской электроники, таких как TiVo. В большинстве цифровых видеомагнитофонов контент не отделим от устройства, тогда как медиацентры позволяют записывать его на DVD. К тому же в ПК легче наращивать емкость жесткого диска.
Пока не ясно, какие новые функции Microsoft добавит в Symphony, хотя Гартенберг ожидает, что компания продолжит попытки приблизить операционную систему к потребительской электронике. Если ее первая версия была на 80% ПК- и на 20% ПЭ-системой, то прошлогоднее обновление изменило эту пропорцию на 50:50. Теперь же Microsoft, по словам Гартенберга, еще больше сместит баланс в сторону потребительской электроники.
Компании, по его словам, будет нелегко вывести на рынок все эти продукты: новую ОС, портативные устройства и дополнения — в этом году. Microsoft придется поработать не только с производителями аппаратуры, но и с несколькими разными подразделениями внутри компании. «Microsoft хочет согласовать работу многих компонентов, — говорит Гартенберг. — Причем все они должны поступить в продажу в одно и то же время».
К тому же Microsoft предстоит решить некоторые проблемы, выходящие за рамки ее влияния. Например, чтобы сделать весь контент доступным в любой части дома, нужен весьма современный дом, оснащенный Ethernet или беспроводной широкополосной сетью. Кидд говорит, что, хотя технология дополнений к медиацентру позволяет работать с обоими стандартами 802.11g и старым 802.11b, «оптимальным является вариант g».
Нелегко оказалось определиться и с количеством новых возможностей, которые следует добавлять в каждую последующую редакцию Media Center. «Существует тонкая грань, за которой новых функций становится слишком много, и пользователь может запутаться, — говорит Кидд. — Однако их должно быть достаточно, чтобы польза была заметна».
| Обнаружена новая дыра в Windows |
|
Независимые исследователи обнаружили очередную дыру в программном обеспечении производства компании Microsoft. На этот раз уязвимой оказалась операционная система Windows XP, а точнее, оболочка Windows Explorer. Обнаружил дыру анонимный исследователь, скрывающийся под псевдонимом http-equiv. Ранее он уже отметился обнаружением дыр в популярных программных разработках Microsoft.
Новая дыра связана с механизмом обработки папок в Windows XP. Злоумышленник может создать папку, при открытии которой пользователем будет выполнен произвольный программный код. Для этого в папку нужно поместить HTML-файл со специальным скриптом и исполняемый файл, который и будет запущен на выполнение при открытии папки.
Самое опасное в новой дыре - это то, что папку с вредоносным скриптом в системе может создать не только локальный пользователь, но и удаленный. То есть дыру можно легко использовать через интернет. Пока о дыре доступна лишь неофициальная информация. Microsoft же хранит традиционное в таких случаях молчание. Скорее всего, патч, устраняющий дыру, будет выпущен не ранее февраля, в рамках ежемесячных выпусков обновлений для продуктов Microsoft.
| AMD разрабатывает исправление для самой серьезной уязвимости в Windows XP |
|
AMD разрабатывает технологию для x86-совместимых процессоров следующего поколения, чтобы устранить одну из самых больших дыр в безопасности систем Windows. Компания сотрудничает с Microsoft для разработки и встраиванию в 32-битные процессоры Athlon64 защиты от переполнения буфера, которое используется при вирусных атаках компьютеров под ОС Windows. По словам Microsoft, компания сотрудничает с производителями процессоров, чтобы улучшить поддержку аппаратных реализаций технологии NX в Windows в будущем.
Атака с переполнением буфера заполняет буферную память компьютера перед тем, как ввести вредоносный код, который потом будет выполнен процессором. Технология, защищающая от этого, называется «не выполнять» (no execute, NX). Она определяет неправильное использование памяти компьютера на уровне процессора и ОС.
NX использует центральный процессор для того, чтобы разделить код приложения и код данных. Это предотвращает исполнение вредоносного кода атакующего червя или вируса, поместившего свой код в память и пометившего его как данные, приложением или компонентом Windows. Тем не менее, поддержка NX в Windows XP не появится до выхода Service Pack 2.
Технология AMD, называемая «защита исполнения», уже встраивается в процессоры Athlon64, 64FX и Opteron, однако использоваться она не может до появления Windows XP Service Pack 2. Intel испытывает похожую технологию для процессоров Prescott. Представитель Intel заявил, что NX встраивается в процессоры Itanium с 2001 года.
| 
