Názor k článku Jak nikdy nespouštět službu, aneb kdo posílá tajemný SIGKILL? od krauser - > Tak to ani omylem. Většina serverů co...

> Tak to ani omylem. Většina serverů co znám, tak má master proces, který jenom spawnuje "workery" (nebo jen jednoho workera). Ten master server si ponechává roota a získává prostředky, a ty workeři již na získání dalších prostředků práva nemají.

Jop, presne, ponechava si roota, protoze .... musi :-D A ten mu zustane, takze jakakoliv chyba tam je skutecne zasadni prusvih (protoze child procesy typicky s master procesem nejak komunikuji).
S capabilities se tam root vubec neobjevi, tudiz moznosti zneuziti jsou vyrazne mensi (navic muze mit capabilities opravdu hodne osekane, tudiz nemusi mit ani ty standardne dostupne pro neprivilegovaneho uzivatele).

> Nebezpečné je pokud se aplikace (díky například buffer overflow nebo underrun) zmocní útočník. Může aplikaci přinutit poslouchat třeba na portu 22 (pokud předtím odstřelil ssh, třeba oom killem) jen proto, aby získal víc času. Nebo na nějakém jiném portu (třeba na portu LDAPu, aby odchytil přihlašovací hesla do legacy systémů napojených na LDAP). A zrovna třeba webservery jsou tak častým případem serverů, že někdo neustále hledá nějakou jejich zranitelnost.
Zase, tohle resi SELinux policy. Pak muze daemon poslouchat jen na tech portech, na ktere ma skutecne pravo a na zadnem jinem.