Fedora-Fr - Communauté francophone Fedora - Linux

Communauté francophone des utilisateurs de la distribution Linux Fedora.

  

Dernière news : Fedora 30 est mort ce soir

#26 20/11/2009 08:29:13

remi
Crazy PHP packages monkey... !
Rédacteur Wiki
Lieu : Champagne...
Inscription : 16/10/2004
Messages : 5 579
Site Web

Re : Installation de paquets signés sans mots de passe dans PackageKit

Un retour au fonctionnement précédent (F-10/F-11) est prévu très bientôt.

https://www.redhat.com/archives/fedora- … 01445.html

+

Hors ligne

#27 20/11/2009 09:11:55

Sat
King & his horse
Rédacteur Wiki
Lieu : Lyon
Inscription : 31/08/2004
Messages : 3 291
Site Web

Re : Installation de paquets signés sans mots de passe dans PackageKit

Merci Pikachu_2014 :)


I don't fight because i want to win, i fight because i have to win.

Hors ligne

#28 20/11/2009 12:09:00

BBT
Membre
Inscription : 01/07/2008
Messages : 130

Re : Installation de paquets signés sans mots de passe dans PackageKit

Sat a écrit :

[...] PackageKit reste plus sûr que les solutions type sudo/gksudo etc... PolicyKit (et SELinux en prime) veille au grain.

@Sat j'ai du mal à voir en quoi Package Kit est plus sûr qu'une solution sudo correctement mise en place. Tu peux développer stp ?

Hors ligne

#29 20/11/2009 12:33:49

moi,titi
Membre
Inscription : 14/07/2009
Messages : 242

Re : Installation de paquets signés sans mots de passe dans PackageKit

proxy a écrit :
2Passage a écrit :

Pour moi l'histoire des MAJ c'est au root de le faire , point barre. Je ne vois pas l'intérêt de donner des droits de modifications système à un user normal.

Bien tu fais comme moi, tu enlèves packagekit

+1 pour le fait d'enlever packagekit yum fonctionne très bien sans; de plus yumex est de mieux en mieux .

Dernière modification par moi,titi (20/11/2009 12:34:16)

Hors ligne

#30 20/11/2009 12:46:21

Pikachu_2014
Retraité
Lieu : Boulogne-Billancourt
Inscription : 16/06/2005
Messages : 11 334
Site Web

Re : Installation de paquets signés sans mots de passe dans PackageKit

BBT a écrit :
Sat a écrit :

[...] PackageKit reste plus sûr que les solutions type sudo/gksudo etc... PolicyKit (et SELinux en prime) veille au grain.

@Sat j'ai du mal à voir en quoi Package Kit est plus sûr qu'une solution sudo correctement mise en place. Tu peux développer stp ?

L'intérêt de PackageKit est double :
- ne permettre d'exécuter en root une application --- graphique ou non --- que sur les parties de code spécifiées par le développeur qui nécessitent vraiment d'être root : si une application graphique est lancée en tant que root (ou via sudo), tout son code est exécuté avec les droits root, y compris les instructions graphiques dont tout le monde sait que leur exécution en root n'est pas garanti comme sûre, loin de là. PackageKit repose sur PolicyKit, peut se lancer en tant que simple utilisateur, mais seules les opérations de maintenance des paquets sont vraiment exécutées avec les droits root, avec demande d'un mot de passe root au moment où ces instructions sont exécutées si l'appli. a été configurée comme tel (ce qui était le cas pour F10 et F11 avec PackageKit, plus avec F12). Yumex et même Synaptic s'exécutent de bout en bout en root... Quelle application est la plus sûre ?
- PolicyKit permet de déléguer avec une grande finesse des tâches d'administration root liées aux appli. basées sur cette bibliothèque à de simples utilisateurs ... Et toute l'affaire qui fait l'objet de ce fil en est la preuve : un utilisateur local peut installer des paquetages sans droits, mais ne peut pas en retirer ni faire de mise à jour, et ce comportement peut être modifié en éditant un simple fichier de conf.


« …elle excitait si puissamment le désir, que je devins alors très incrédule sur sa vertu. »
À propos de Fœdora, dans la Peau de Chagrin (Balzac) roll

Hors ligne

#31 20/11/2009 12:54:11

Sat
King & his horse
Rédacteur Wiki
Lieu : Lyon
Inscription : 31/08/2004
Messages : 3 291
Site Web

Re : Installation de paquets signés sans mots de passe dans PackageKit

À l'origine, sudo c'est un outil pour gérer granulairement l'accès à certaines commandes à une époque où le bureau était inexistant. Aujourd'hui, on utilise sudo à tort et à travers sans aucun avantages par rapport au mécanisme super-utilisateur classique.
Premièrement, tu as le problème du timeout avec sudo (15m sous Ubuntu par défaut), deuxièment, avec sudo tu octroies potentiellement des privilèges à des millions de lignes de codes non audités (Xorg, Gtk+, etc ...).
En lieu et place de sudo, Fedora utilise PAM/ConsoleHelper qui est un moindre mal, mais qui est progressivement remplacé par PolicyKit, plus adapté au paradigme bureau.

Pour résumer, PolicyKit permet une gestion fine des droits selon un principe client/service (pas d'erreur, c'est un service dbus). Ton client demande le droit d'exécuter une seule action, PolicyKit vérifie qu'il a le droit d'effectuer cette opération et transmet ou non la requête à un service. Seul le service en question a les priviléges, pas les clients, donc moins de code tournant sous des priviléges élevés, une authentification plus fine (PolicyKit peut distinguer un utilisateur local, d'un utilisateur distant), etc ...
Le seul inconvénient de PolicyKit, c'est la nécessité d'intégrer le framework à l'application.

Pour en revenir à PackageKit, PackageKit s'appuie sur PolicyKit, d'où le fait que l'installation de paquets en non-root ne marche pas pour un utilisateur distant, que ça n'affecte que le mécanisme d'installation de paquets (on peut difficilement détourner PackageKit pour une élevation de droits), et ça ne marche que pour les paquets signés (par défaut, les dépôts officiels)
Certes, c'est moins sécurisé que le comportement précédent puisque l'administrateur ne peut pas filtrer les paquets installés (enfin, quand on administre un parc, on personnalise un minimum les installations) mais ça reste un zillion de fois mieux que sudo/gksudo. Enfin, ça change pas grand chose pour les utilisateurs desktop.
Le seul truc à craindre, c'est qu'un paquet contienne une faille mais c'est valable pour tout le monde. Mais dans ce cas, c'est oublier la politique de sécurité proactive (sécurité préventive) de Fedora (on est la seule distribution "grand public" à le faire) c-a-d SELinux et ses amis qui permettent de confiner la plupart des failles par avance. Pour plus de détails sur la sécurité d'une installation Fedora, je vous renvoie à l'excellent security guide (également disponible via yum)
http://docs.fedoraproject.org/security- … n-US/html/


I don't fight because i want to win, i fight because i have to win.

Hors ligne

#32 20/11/2009 13:18:45

BBT
Membre
Inscription : 01/07/2008
Messages : 130

Re : Installation de paquets signés sans mots de passe dans PackageKit

ok merci pour les réponses, je met +1 à PolicyKit sur l'idée.
Je testerai pour voir comment ça se met en place quand j'aurai le temps.

Hors ligne

#33 20/11/2009 14:35:39

Sat
King & his horse
Rédacteur Wiki
Lieu : Lyon
Inscription : 31/08/2004
Messages : 3 291
Site Web

Re : Installation de paquets signés sans mots de passe dans PackageKit

PolicyKit est compris dans l'installation par défaut et c'est sensé être transparent pour l'utilisateur, normalement rien à faire de ton côté

Pour revenir au sujet de la discussion, une mise à jour arrive, pour les détails (avec l'explication qui va bien avec):
https://www.redhat.com/archives/fedora- … 01445.html


I don't fight because i want to win, i fight because i have to win.

Hors ligne

#34 20/11/2009 14:39:46

nouvo09
Accro à Fedo !
Lieu : Paris
Inscription : 22/09/2005
Messages : 22 546

Re : Installation de paquets signés sans mots de passe dans PackageKit

L'idée de la gestion par PolicyKit est très bonne d'une manière générale.

Encore que, comme il est dit dans fedora-devel-list, la problématique de l'installation sans authentification de paquets signés représente une faille de sécurité interne à la famille ou au cercle des personnes qui ont un accès physique à une machine sans en être administrateur.

D'accord, Fedora n'a pas vocation à être installée dans des ministères ou des grandes entreprises, mais s'il venait à l'idée de RedHat de généraliser le choix qui a été fait dans cette release, on imagine quelles catastrophes celà engendrerait.

Une autre chose que je ne comprends pas, si toutefois j'ai bien lu: Un user sans droit pourrait installer des paquets sans authentification, mais ne pourrait pas en retirer ? Et s'il s'aperçoit qu'il a fait une bêtise alors ?


C'est pas parce que c'est difficile qu'on n'ose pas,
c'est parce qu'on ose pas que c'est difficile !

Hors ligne

#35 20/11/2009 14:59:16

Sat
King & his horse
Rédacteur Wiki
Lieu : Lyon
Inscription : 31/08/2004
Messages : 3 291
Site Web

Re : Installation de paquets signés sans mots de passe dans PackageKit

Si tu permets de supprimer un paquet ==> pkcon remove glibc ===> vlan dans les dents.
Pour résoudre ce problème, il faudrait enregistrer quelque part les paquets installés par l'utilisateur en question (des méta-données propres à PK, une base rpm utilisateur etc ...), mais visiblement ça n'a pas été pris en compte. Preuve de l'immaturité de la fonctionnalité.
Là, le lynchage aurait été largement mérité si on pouvait désinstaller comme ça les paquets.


> mais s'il venait à l'idée de RedHat de généraliser le choix qui a été fait dans cette release
Aucun risque, RHEL a des standards plus stricts que Fedora y compris au niveau du bureau.

Dernière modification par Sat (20/11/2009 15:10:20)


I don't fight because i want to win, i fight because i have to win.

Hors ligne

#36 20/11/2009 18:56:44

korbé
Membre
Inscription : 04/11/2009
Messages : 348

Re : Installation de paquets signés sans mots de passe dans PackageKit

remi a écrit :

Un retour au fonctionnement précédent (F-10/F-11) est prévu très bientôt.

https://www.redhat.com/archives/fedora- … 01445.html

+

Merci beaucoup pour l'info.

Ce sera donc réparé pour F12.

Mais j'ai pas très bien compris ce qu'ils cherchent à faire. Pouvoir définir des compte "Administrateur" et des compte "Non Administrateur", avec non demande de mot de passe pour les comptes "Administrateur", comme sous Windows?

Ce qui me pose problème, ce n'est pas tant le fonctionnement interne, mais c'est l'impacte sur l'utilisateur: il n'y a plus cette démarcation entre utilisation et administration qu'est la demande du mot de passe ROOT. Ça désensibilise l'utilisateur sur son acte et ne lui fait pas prendre conscience de son importance. Il faut bien marquer la différence, notamment via la demande de mot de passe root, afin de donner les bonne habitudes à l'utilisateur.

Sinon, si on commence par supprimer la demande de mot de passe sois disant pour simplifier la vie de l'utilisateur, on finit par enlever la gestion avancé des droit aussi sur les fichiers... C'est ce qu'avait fait Microsoft, et on a vue ou ça a menez (et la génération d'utilisateur inconscient).


Portable: Lynx Levio 3510 (Gigabyte I1320) avec Fedora 15 Gnome.
Media-Center: Assus EEEBox avec Fedora 15 XBMC.

Hors ligne

#37 22/11/2009 17:20:28

korbé
Membre
Inscription : 04/11/2009
Messages : 348

Re : Installation de paquets signés sans mots de passe dans PackageKit

Par contre, je ne vois pas de changement pour les mises à jour.

Les réglages des mises à jours se font depuis le sous-menu Préférence, par l'utilisateur (qui peut demander une installation automatique), et non depuis le sous-menu Administration avec demande du mot de passe root.


Portable: Lynx Levio 3510 (Gigabyte I1320) avec Fedora 15 Gnome.
Media-Center: Assus EEEBox avec Fedora 15 XBMC.

Hors ligne

#38 27/11/2009 15:10:18

korbé
Membre
Inscription : 04/11/2009
Messages : 348

Re : Installation de paquets signés sans mots de passe dans PackageKit

Pour ceux qui veulent savoir: c'est bon, la mise à jour a été faite.

Il me semblait qu'avec Policykit le mot de passe root n'était pas demandé dans les 15 minutes après qu'il ai été donnée par l'utilisateur.
Est que c'est exprès ce passage de l'extrême pas de demande de mot de passe à l'autre extrême demande à chaque fois?
Le mainteneur du paquet veut-il agacer les gens avec une demande constante de mot de passe root pour que son idée paraisse bien?

Non, cela témoignerai d'une mesquinerie bien prononcé.

Bref, c'est réglé pour l'installation, mais pas pour les mises à jour. Une idée concernant ceci?


Portable: Lynx Levio 3510 (Gigabyte I1320) avec Fedora 15 Gnome.
Media-Center: Assus EEEBox avec Fedora 15 XBMC.

Hors ligne

#39 27/11/2009 15:31:36

BBT
Membre
Inscription : 01/07/2008
Messages : 130

Re : Installation de paquets signés sans mots de passe dans PackageKit

Pour les mises à jour ça a l'air moins grave que l'installation de nouveaux paquets,
mais de manière générale, je pense que toutes ces responsabilités relèvent de l'administrateur.
C'est à lui de décider de déléguer ou pas ces tâches à un ou plusieurs utilisateurs,
et si l'administrateur n'est pas au courant de ces possibilités, autant les bloquer plutôt que les autoriser par défaut.

Hors ligne

#40 27/11/2009 15:55:47

korbé
Membre
Inscription : 04/11/2009
Messages : 348

Re : Installation de paquets signés sans mots de passe dans PackageKit

Pour bloquer la fonctionnalité de mise à jour, je pense qu'il faut faire cette cette commande:

pklalockdown -lockdown org.freedesktop.packagekit.system-update

Si quelqu'un peut confirmer.

Par contre, c'est pour bloquer les réglages que je sais pas comment faire.


Portable: Lynx Levio 3510 (Gigabyte I1320) avec Fedora 15 Gnome.
Media-Center: Assus EEEBox avec Fedora 15 XBMC.

Hors ligne

Pied de page des forums