पैकेज अनइंस्टॉल करने के बाद ArchLinux कुछ उपयोगकर्ताओं / समूहों को क्यों रखता है?

Question

मैंने देखा है कि postgresqlArchLinux में पैकेज की स्थापना रद्द करने के बाद postgresउपयोगकर्ता और समूह को स्वचालित रूप से हटाया नहीं जाता है। कुछ अन्य पैकेजों के लिए भी यही सही है। इसकी जाँच करते हुए, मैं इस पृष्ठ पर आया हूँ , जिसमें लिखा है:

यहां सूचीबद्ध पैकेज वे बनाए गए उपयोगकर्ता को निकालने के लिए उपयोग userdel/ उपयोग groupdelकरते हैं। इन्हें कभी भी स्वचालित रूप से नहीं हटाया जाना चाहिए क्योंकि यह सुरक्षा जोखिम पैदा करता है यदि कोई फ़ाइलें इस स्वामित्व के साथ पीछे रह जाती हैं।

मुझे आश्चर्य है कि इस स्वामित्व वाली फ़ाइलों को छोड़ने से सुरक्षा जोखिम क्यों होता है?

Answer 1

यह एक सुरक्षा जोखिम है क्योंकि FS में फ़ाइल स्वामित्व को प्रतीकात्मक नाम से नहीं, बल्कि UID और GID द्वारा संग्रहीत किया जाता है। यदि कोई उपयोगकर्ता हटा दिया जाता है और फ़ाइलें उस उपयोगकर्ता के स्वामित्व में रहती हैं, तो वे स्वामी की अनुमति के तहत अप्राप्य हो जाते हैं। हालांकि, अगर बाद में एक अलग उपयोगकर्ता बनाया जाता है जिसे समान यूआईडी आवंटित किया जाता है, तो वह उपयोगकर्ता फ़ाइलों का स्वामित्व प्राप्त करेगा। यह संभावित रूप से सुरक्षा जोखिम है क्योंकि विभिन्न तरीकों से फ़ाइल स्वामित्व का उपयोग सुरक्षा तंत्र के रूप में किया जाता है; सबसे सरल रूप वह है जहां नए उपयोगकर्ता को गोपनीय जानकारी (जैसे SSH कुंजी id_rsaऔर इसके बाद, wi-fi प्रमाणीकरण जानकारी wpa_supplicant.conf) में लीक किया जा सकता है।

Comments

इसके अलावा, नया उपयोगकर्ता जोखिम में भी हो सकता है, यदि कोई भी पुरानी उपयोगकर्ता की निष्पादन योग्य फाइलें सेट्युइड हैं या suEXEC का उपयोग इस तरह से करती हैं कि एक अनधिकृत उपयोगकर्ता उस उपयोगकर्ता के रूप में प्रोग्राम चला सकता है।

— मार्क प्लॉटनिक