Re: [riminilug-general] Media server: hw e sw

[Ivan Tarozzi <itarozzi@xxxxxxxxx>]

yeah, finalmente qualcuno che ne capisce di server :)

Il 22/08/2014 15:43, daniele@xxxxxxxxxxxx ha scritto:
>
> Il 21.08.2014 19:33 Ivan Tarozzi ha scritto:
>> In realtà nfs4 permette autenticazioni a livello di utente usando
>> kerberos, ma non ho mai provato e non sono pratico.
>
> non solo, la protezione è *sempre* (a meno di disabilitarla) presente
> a livello di uid.
>
> per la serie, tutto quello che è il mondo linux viene preservato, e si
> può portare dietro anche le acl con nfsv4 (v3, non ricordo).

ok, questo e' senz'altro vero pero' vorrei conferma del seguente
scenario:   mi piazzo con il mio portatile all'interno di una rete,
ottengo un bell'IP via DHCP e tale IP e' nel range di quelli abilitati a
livello di NFS, a quel punto faccio il mount di una risorsa NFS e
(creando opportuni utenti con ID appropriati) a quel punto posso avere
accesso a qualunque file sulla condivisione NFS?
Ovvero, una volta eseguito il mount, la sicurezza a livello di utente e'
relativa al PC che monta il filesystem, giusto?
Se io ho UID 2000 sul mio PC e monto un fs NFS i cui files sono di
proprieta' di un altro utente ma sempre con ID 2000 posso accedere ai
suoi files, giusto?

E' solo per capire; poi e' ovvio che un buon sistemista evita situazioni
troppo aperte, usa ID univoci sulla rete ecc... Ma se per assurdo in una
rete mi danno accesso ad una risorsa NFS e io sono amministratore (root)
del *mio* pc, questo vuol dire che potenzialmente posso "eludere" il
controllo e accedere ai files di altri sulla stessa risorsa condivisa
semplicemente creando utenti con gli ID giusti?.


Ovviamente tutto questo discorso non interessa, nel caso di una rete
casalinga dove ho il controllo di chi si collega ... almeno fino a
quando mio figlio non impara a leggere e a pigiare tasti sulla tastiera
:D :D :D

>
> con idmapd è poi possibile fare il lookup del nome dell'utente e non
> dell'id numerico, quindi aumenta anche la flessibilità della soluzione.

interessante, non lo conoscevo, vado a documentarmi :D
rimane il problema di cui sopra? oppure no?


>
> [cut]
>> Nella pratica, ovvero su reti protette, personalmente non vedo la
>> necessità di una sicurezza maggiore rispetto ai filtri sugli ip quindi
>> vado con nfs "liscio".
>> Ovvio che se qualcuno mi buca il firewall o il wireless il problema
>> potenzialmente esiste.
>
> il problema esiste a prescindere, se ti bucano il firewall o la
> wireless :)

of course :D

>
> Ciao,
> d.
>

Ciao!
Ivan

---------------------------------------------------------------------
Per cancellarsi, scrivi a: riminilug-general-unsubscribe@xxxxxxxxxxxx
Se vuoi conoscere altri comandi, scrivi a: riminilug-general-help@xxxxxxxxxxxx