whisper hat geschrieben:Ich sprechen einem Paket pmacct hat sein passwort leider in einer welt lesbaren Datei
Ja, Bug. Die Dokumentation erwähnt das Problem nicht und es gibt auch keine include-Direktive (die struct
36705 sieht nicht danach aus, und in usr/share/doc/pmacct/CONFIG-KEYS.gz kommt es ebenfalls nicht vor). Du kannst also nicht wie oben empfohlen nur die Passwort-Direktive mit 0600 auslagern. Also musst du die komplette Konfig auf 0600 setzen.
Per Default sollte die Konfig aber mit normaler umask erstellt werden, da sich eben (noch) kein Passwort darin befindet.
Der Daemon stellt dieses Problem allerdings nicht selbst fest. Schöner wäre etwas wie
Code: Alles auswählen
Oct 5 23:07:17 testing pmacctd[5919]: INFO ( default/core ): Start logging ...
Oct 5 23:07:17 testing pmacctd[5920]: WARN: config file is WORLD READABLE and stores MySQL password!
Oct 5 23:07:17 testing kernel: [ 5884.308082] device lo entered promiscuous mode
Oct 5 23:07:17 testing pmacctd[5919]: OK ( default/core ): link type is: 1
Wenn du magst, kannst du meinen Patch für pmacct-0.14.0 aus Testing (bzw. auch Sid) ausprobieren:
Code: Alles auswählen
--- a/mysql_plugin.c
+++ b/mysql_plugin.c
@@ -670,7 +670,18 @@ void MY_init_default_values(struct insert_data *idata)
/* Linking database parameters */
if (!config.sql_user) config.sql_user = mysql_user;
if (!config.sql_db) config.sql_db = mysql_db;
- if (!config.sql_passwd) config.sql_passwd = mysql_pwd;
+ if (!config.sql_passwd)
+ config.sql_passwd = mysql_pwd;
+ else { /* asume we got the MySQL password from config file */
+ struct stat config_file_stat;
+ char config_file[] = "/etc/pmacct/pmacctd.conf"; /* FIXME: this is a FAKE -
+ TODO: find a way to read config_file from pmacctd.c:200 here */
+ if (-1 == stat(config_file, &config_file_stat))
+ Log(LOG_WARNING, "WARN: can't stat() config file to check permissions");
+ else
+ if (config_file_stat.st_mode & S_IROTH)
+ Log(LOG_WARNING, "WARN: config file is WORLD READABLE and stores MySQL password!");
+ }
if (!config.sql_table) {
if (config.sql_table_version == (SQL_TABLE_VERSION_BGP+1)) config.sql_table = mysql_table_bgp;
else if (config.sql_table_version == 8) config.sql_table = mysql_table_v8;
Das Problem ist bislang nur der hartkodierte Pfad zur Konfig, der mit -f übergebene Pfad wird beim Check ignoriert. Das ausgewertete config_file aus pmacctd.c liegt aber nicht im scope von mysql_plugin.c. Da muss der Maintainer entscheiden, wie er das umsetzt, der Sinn eines Plugins ist es ja gerade, ohne Änderungen an der Hauptanwendung zu funktionieren.
Beim pgsql-Plugin müsste es analog aussehen. Zur 0.12.0 in Squeeze sind Änderungen in der Datei gemacht worden, wodurch sich die Zeilennummern verändert haben. In dem gepatchten Bereich selbst hat sich aber nichts wesentliches getan (in 0.14.0 ist danach eine Zeile zur SQL-Tabellen-Version neu).
r900 hat geschrieben:Aber wenn in der Datei für gewöhnlich ein Passwort eingetragen werden muss damit man das Programm benutzen kann dann wäre 0600 als default gerechtfertigt.
Sofern sich ein dpkg-Mechanismus tatsächlich darum kümmert, ja. Sonst aber nicht.
r900 hat geschrieben:Oder eben ein Hinweis dass man besser ein verschlüsseltes Passwort einträgt oder so.
Das geht nicht, weil man wieder das Klartextpasswort zur Authentifizierung an der Datenbank braucht.
Gruß Cae
pmacct aufgefallen, das dem nicht immer so ist.
