Názory k článku
Linus: chtít rootovské heslo kvůli běžným věcem je „debilní“

Má pravdu ten kluk.

má, jenže tohle byla pravda i před deseti lety a určitě to napadlo spoustu lidí před ním, a změnilo se něco ? leda kulový.

Stačí se kouknout na konkurenci. Ve Windows NT už nejspíš od první verze existují User Rights, například "Change the system time". Ke každému takovému nastavení lze přiřadit uživatele a skupiny. Podobný mechanismus v jisté formě existuje už nějakou dobu i na UNIXech, i když tradiční řešení je "to smí udělat jen root, takže napíšeme utilitu a nastavíme jí setuid" :)
Ve Windows to ale jde o trochu dál. Minimálně od NT4 existují bezpečnostní templaty. Ty drží pohromadě všechna tahle nastavení, plus nastavení permissions na FS (třeba kdo smí zapisovat do kořenového adresáře, do Program Files, adresáře Windows apod), a další bezpečnostní nastavení (například jestli vynulovat swap file při vypínání systému). A když máte počítače v doméně, můžete pár kliky vynutit tuhle policy pro jakoukoliv skupinu strojů. A samozřejmě si můžete definovat vlastní policy, a také nastavovat další restrictions (třeba zakazovat některé programy, nastavovat restrikce UI apod).
Od Windows se zjevně lze učit i v oblasti bezpečnosti.

Ved taketo prava pre subory/adresare sa daju nastavit pomocou ACL uz dost dlho. A namiesto setuid mozes nastavovat potrebne "capabilities" pomocou setcap pre konkretnych uzivatelov....

Na domácím počítači nevidím v nastavování času problém, tak jednou za dva měsíce holt musím to heslo naťukat, když se mi stroj o minutu opozdí...
Ale ve firmě (kde se stejně čas synchronizuje s nějakým serverem) si dovedu velmi snadno představit jak se přes změnu data krásně falšují záznamy nebo třeba faktury, to se opravdu od Windows v oblasti bezpečnosti máme co učit :-D

Urcite se neco zmenilo. Treba na WinXP nebylo ani mozne otevrit kalendar anebo vypsat routovaci tabulku. Ted uz to jde.

Ve Windows XP (a 2003) nebyl problém si nastavit možnost změny systémového data/času pro jakéhokoliv uživatele. Ale byla tam fakt hustá vychytávka. Když jste otevřel kalendář a změnil v něm měsíc ("bude příští měsíc třináctého v pátek?"), tak se jen tím výběrem změnil systémový čas. MS za to jistě sklidil dlouhou řadu děkovných dopisů :)

To ze to ma MS dobre vymysleny, tak tomu verim. Bohuzel se tim ale neinspiruji ani jeho vlastni vyvojari. Chtel jsem poukazat na to, ze se spojuje pravo "videt" a pravem "menit".

Kdyz kliknu v XP na hodiny, abych si zobrazil kalendar, abych se kouknul kolikatyho dneska vlastne je, tak nemuzu - nemam prava. Kdyz resim problem se siti, tak mam taky smulu, nemam pravo videt routovaci tabulku na vlastnim PC.

You don't like it? Go write your own! Oh wait...

:-)))

NTP...

Hlavně se dá změnou systémového času poměrně dost věcí pokazit. Osobně u změny času to heslo také preferuji. Proč ho chce pro wifi je mi také trochu jasné. Ale že ho chce i pro tisk na tiskárnu je docela zarážející. I když se na to podívám z pohledu útočníka, který se vám vlámal pod uživatelem "patočka" do počítače, nenapadá mě jak bych mohl možnost tisku využít k dalšímu průniku. Leda snad vyplácat vám všechen papír v tiskárně a půlku toneru :-)

1/ Řeč byla o časovém pásmu, ne o změně času.
2/ To mi teda opravdu jasné není.
3/ Protože CUPS. Ta kravina se taky dá nastavit někde přes policykit, ale nefunguje to. Ptát se to přestalo, když jsem se přidat do skupin lp/lpadmin (distro - LMDE).

Mam linux-only desktop + notebook asi 7 roku. Uz si nepamatuju, kdy to doladili, ale uz dlouho je to takto:
- Defaultne user nemuze menit cas, ale staci mu to v Global Policy povolit a uz to jde ..
- Wifi po mne nikdy zadne heslo roota nechce, jen si kliknu kterou chci (KDE4+NM).
- Tiskarny jsou trochu problem. Dochazi pri nich k instalaci driveru ci prinejmensi PPD popisu, dale se zrizuji tiskove fronty v OS. Na windows si user taky tiskarnu neprida. Ze zcela stejnych logickych duvodu.

U nás si user tiskárnu normálně přidá a taky to dělá. Záleží na nastavení politiky.Drivery si neinstaluje svoje, stáhnou se automaticky se serveru.

S tímto mám dlouhodobě celkem problémy,vím, že existují věci jako ssh-askpass, secure keyboard / keyboard grab, obzvlášť u grafických aplikacích se ale často stává, že externí askpass použít neumí a na grab kašlou (nebo ještě jinak, zavolá to askpass a když ten skončí neúspěchem (např. timeout, když u kompu nikdo není), tak to nahodí vlastní podobné okýnko bez grabu - takto se chová např. psi).

Secure keyboard mě pak taky pěkně štve, zapínání s pomocí myši v xtermu je tak zdlouhavé, až jej člověk často vynechává, a Alt+S v současných verzích rxvt taky nějak nefunguje.

Netušíte, zda v minulosti proběhla nějaká iniciativa za opatchování xtermu a readline tak, aby šlo secure keyboard zapínat přes ANSI sekvence, nejlépe automaticky při zadávání hesla? Do toho bych i přes některé nevýhody asi šel..

Snad se dá zvolit jaká práva má user rovnou z GNOME naklikat to jde .. a určitě se to dá upravit pomocí práv k souborům ... kde je problém ...?? Co je nastaveno default?

Nastaveno by default je něco, co výrobce distribuce považuje za rozumné defaultní hodnoty, a to v jakýchsi polkit sračkách, dokumentace stojí za vyližprdel, stejně jako celá implementace policykit/con­solekit/packa­gekit a spol. Celé je to neuvěřitelně zabugované, např. včera mi vypadly pojistky, načež se ten NetworkManager křáp začal z nepochopitelných důvodů ptát na root heslo, patrně v touze nastavit nějakou APIPA adresu na wlan. :-(

Mno, je to uz davno, kdy jsem mival Windows, ale tam to casto dopadlo podobne. Proste, kdyz neco nakopne ty definice, je to v loji. Alespon, ze jsem mel XP prof, ty umely refresh instalaci a ta to opravila. A delal jsem to nejmin 2x do roka .. a priste uz radsi komplet reinstall. Ale na to jsem nemel nervy a zahodil to. Od te doby mam klid.

Linus nikdy neřekl "change system time and date"! On jen řekl že měnit TIMEZONE je blbost na kterou nepotřebuju být root a má pravdu. Změnit čas systému je sakra velká věc, kterou si user prostě nesmí dovolit.

Ctete po sobe ? Pripada mi to jako naprosty blabol tvrdit, ze posunuti casu je strasnejsi vec nez zmena TZ. Oboje rozesere veci kriticky zavisle na case. A myslim, ze vetsina BFU, NTP nemaje/neznaje, mnohem casteji potrebuje soupnout cas o par minut .. nez menit TZ.

1/ Změna timezone pro daného uživatele NIC nerozesere. Můžete si to sám vyzkoušet:

$ date; TZ=/usr/share/zoneinfo/UTC date
St úno 29 20:54:03 CET 2012
St úno 29 19:54:03 UTC 2012

2/ Pokud nějaká distribuce nemá aspoň ntpdate v defaultních initskriptech, tak prosím vás reportujte bug.