Kommentare zu: Fedora 12: Installation von Software ohne Admin-Rechte möglich!

Von: Christoph

Christoph — Mon, 23 Nov 2009 17:36:56 +0000

>…bei Ubuntu kann ja jeder Benutzer in der Standardkonfiguration mit sudo – also ebenfalls ohne root-Passwort – alles machen.

Nein, nur der erste Benutzer ist von Haus aus in der admin-Gruppe, alle restlichen Benutzer werden nicht automatisch in diese gruppe eingefügt. Es geht auch nicht um das „root-Passwort“, bei Ubuntu gibt es kein Passwort für root, es sei denn man setzt Eines.

> Aber ich stimme dir zu: Benutzer sollten nicht einfach Pakete installieren dürfen, es gibt genug Gründe, das zu verbieten (Multiuser-Setups, Kiosksysteme, etc).

Darum drehte sich ja die ganze Aufregung. Es kann und darf nicht sein, dass Anwender Software installieren dürfen.

Von: Christoph (der andere)

Christoph (der andere) — Mon, 23 Nov 2009 17:28:46 +0000

Hallo Christoph, um Deine Frage aus Kommentar #2 zu beantworten: Es gilt nicht für heruntergeladene Pakete, sondern nur Pakete, die direkt aus den Paketrepositories installiert werden. Ich verstehe die ganze Aufregung nicht ganz, bei Ubuntu kann ja jeder Benutzer in der Standardkonfiguration mit sudo - also ebenfalls ohne root-Passwort - alles machen. Aber ich stimme dir zu: Benutzer sollten nicht einfach Pakete installieren dürfen, es gibt genug Gründe, das zu verbieten (Multiuser-Setups, Kiosksysteme, etc). Was mich an der Sache stört ist die Art und Weise, wie der PackageKit-Entwickler reagiert. Er sagt, er habe das schließlich schon "vor 9 Monaten öffentlich diskutiert". Dumm nur, dass an der Debatte nur 2 Leute beteiligt waren und der andere ihm widersprochen hat. Es dann doch einfach einzuführen ist schon ein starkes Stück, aber leider bezeichnend für diesen Entwickler.

Von: Christoph

Christoph — Fri, 20 Nov 2009 18:23:29 +0000

Hi Christopher, danke für den Hinweis. Hatte das schon vor ein paar Stunden oben im Artikel als Update eingetragen.

Von: EnTeQuAk

EnTeQuAk — Fri, 20 Nov 2009 18:20:43 +0000

Das „Problem“ wird in einem der nächsten Fedora-Updates behoben. Auf der Mailingliste gab es dazu eine offizielle Aussage.

Siehe https://www.redhat.com/archives/fedora-devel-list/2009-November/msg01445.html

Gruß, Christopher

Von: kl4b

kl4b — Fri, 20 Nov 2009 06:59:31 +0000

@ Ximion

Ja, das funktioniert, sollte aber nicht so benutzt werden, da es mit dem Erscheinen v. polkit 0.95-1 nicht mehr funktioniert.

Die längere, ausführliche Version (http://fpaste.org/hiIg/) funktioniert auch mit polkit-final.

Von: Ximion

Ximion — Thu, 19 Nov 2009 20:53:23 +0000

Eigentlich sollte ein
pklalockdown –lockdown org.freedesktop.packagekit.package-install
reichen, um die Aktion rückgängig zu machen.

Von: kl4b

kl4b — Thu, 19 Nov 2009 16:22:36 +0000

Original u. Blogtext:

… create a file in /var/lib/polkit-1/localauthority/20-org.d …

… der sollte von Hand die Datei /var/lib/polkit-1/localauthority/20-org.d anlegen …

Sorry für die Erbsenzählerei! 😉

Von: Martin Gräßlin

Martin Gräßlin — Thu, 19 Nov 2009 16:00:00 +0000

Also eine wirkliche Schwachstelle ist es nicht. Nur ein User der angemeldet und vor dem Rechner sitzt kann Software in der GUI installieren. Das kann zum Beispiel nicht von einem Skript ausgenutzt werden – PolicyKit sei Dank. Zum Vergleich: sudo lässt sich sehr leicht ausnutzen.

Nun ist die Frage, ob das eine sinnvolle Änderung ist: ich denke ja. In 99 % der Fälle arbeitet ja nur eine Person mit dem Rechner. Genau dann ist die Änderung sinnvoll. Sie ist nur nicht sinnvoll, wenn es mehr als einen User gibt und der Besitzer nicht möchte, dass alle Software installieren können. Das kann man dann sogar auch über die UI ausschalten (zumindest in KDE weiß ich dass es geht). Für den Fall große Installation und Admin: das ist bei den Haaren herbeigezogen. Kein Admin installiert Fedora 12. Dafür gibt es RHEL und das wird das Verhalten bestimmt nicht ändern 😉

Von: Christoph

Christoph — Thu, 19 Nov 2009 15:43:02 +0000

Um das noch ein bisschen weiter auszuarbeiten: Auf Linux-Maschinen sollte der User Schreibzugriff nur in $HOME und /tmp haben. Um in allen anderen Bereichen schreiben zu dürfen, sollten administrative Rechte eingefordert werden. Ich denke der Admin eines Fedora-System hat wenig Freude daran, wenn ein User lustigerweise einen Haufen Serverdienste installiert.

Von: Oliver

Oliver — Thu, 19 Nov 2009 15:41:28 +0000

Das ist wohl wahr. Allerdings muss ich hinzufügen: Zumindest mache ich das so bei mir: Ich arbeite als normaler Desktop-user, jeder andere wird als Unprivilegierter-user angelegt, der sowieso kein recht hat der System zu verwalten. (wieso sollte er es auch haben?)
Was ein User darf und was nicht lässt sich glücklicherweise Haar-genau definieren!