Зачем запускать сервис как системный пользователь?

19

У меня есть общий вопрос о мире UNIX.

В настоящее время я использую Ubuntu дома и установил Transmission на устройстве, и он работает как и сохраняет файлы как пользователь -debian . Мне интересно, имеет ли смысл для меня изменить это на моего собственного пользователя, чтобы легче было взаимодействовать с файлами, и мне не нужно sudo ? Почему это плохая идея?

ScipioAfricanus
источник

Ответы:

40

Основная причина, по которой рекомендуется запускать Transmission в качестве своего собственного выделенного системного пользователя, а не вашего пользователя, заключается в том, что если в программном обеспечении имеется уязвимость, позволяющая использовать эксплойты, которые открывают файлы за пределами своего сконфигурированного каталога, то это не приведет к раскрытию возможного конфиденциальные файлы из вашего домашнего каталога, так как сам Linux будет препятствовать доступу такого рода через основные разрешения.

Чтобы упростить управление файлами в каталоге Transmission обычным пользователем, вы должны рассмотреть возможность добавления пользователя в debian-transmissionгруппу, которая является группой, которая владеет файлами в каталоге Transmission и имеет (или, по крайней мере, должна иметь) доступ для чтения / записи к этому каталогу и файлам в нем.

HOWTO Ubuntu предлагает эту команду (немного адаптированный для получения вашего пользователя из переменной окружения):

sudo usermod -a -G debian-transmission "$USER"

(Не забудьте выйти из системы и войти снова после запуска usermod, так как это не повлияет на группы любого существующего процесса.)

Надеемся, что это облегчит вам управление файлами, загруженными с помощью Transmission, и в то же время сохранит его работоспособность под собственным выделенным пользователем системы, для большей безопасности.

filbranden
источник
1
У меня была такая же проблема, и я подумывал о том, чтобы сменить службу на обычного пользователя. Это намного лучше. Благодарность!
Алко
3
Вы также можете, но по умолчанию разрешения на каталог, чтобы дать вам разрешение, используя setfacl. см. unix.stackexchange.com/questions/101263/…
ctrl-alt-delor
1
Эй, спасибо большое.
ScipioAfricanus