Petite vérification...
J'ai plusieurs utilisateurs sur une machine mais je ne veux pas qu'ils se rencontres...

J'ai donc:
chmod 711 /usr/home  <- ils ne peuvent pas lister /home
chmod 700 /usr/home/* <- ils ne peuvent pas accéder à d'autres dossiers home

chmod 440 /etc/passwd <- ils ne peuvent pas voir les utilisateurs du système
chmod 440 /etc/group <- ils ne peuvent pas voir les groupes du système

chmod 550 /usr/bin/who <- ils ne peuvent pas voir qui est loggué sur le système
chmod 550 /usr/bin/w <- ils ne peuvent pas voir qui est loggué sur le système
chmod 550 /usr/bin/users <- ils ne peuvent pas voir qui est loggué sur le système
chmod 550 /usr/bin/last <- ils ne peuvent pas voir qui est loggué sur le système

chmod 600 /var/log/* <- ils ne peuvent pas accéder au logs particulièrement wtmp

sysctl security.bsd.see_other_uids=0 <- ils ne peuvent pas voir les autres processus


Ok c'est bien sympa, ca fonctionne pour arreter les femmes, les enfants et les étranger... mais je suis sur que je laisse encore passer beaucoup de monde.

Des recommendations?

Je vais prendre le moins de risques possible pour te répondre:
fais-leur des jails !
Pour rendre la tâche plus facile, il y a des outils dans les ports (sysutils/ezjail, sysutils/jailctl, etc.) et en utilisant UNIONFS, ça ne te coûtera pas beaucoup d'espace disque.

J'ai jamais eu l'occasion de devoir faire ça, mais ça me semble risqué de considérer qu'on a fait le tour exhaustif des permissions à changer, vu le nombre de binaires dans la base: il reste peut-être (certainement ?) des outils que l'on peut détourner pour se renseigner sur ses "colocataires".

Question subsidiaire: pourquoi 711 pour le /home au lieu de 700 ?
[edit]Ca va, je retire ma question et je promets de réfléchir avant d'en poser d'autres plus bêtes encore...[/edit]

Idéalement je préfèrerais éviter d'utiliser une jail, simplement pour des raisons pratiques de gestion au quotidien.
Je suis encore à la recherche du système multi-utilisateur parfait...
Je continue ma quete.

Bonjour

Il me semble peut-être possible d'obtenir quelques informations grâce aux répertoires /tmp et /var/tmp ; il suffit pour cela qu'un des programmes, ou même simples scripts, utilisés y laisse des fichiers "temporaires".

Un "ls -l" suffit alors à connaître les identifiants des utilisateurs sans parler des programmes dont le nom même des fichiers temporaires contient celui-ci. Par exemple j'ai ce matin installé et lancé "mc" sous root, marck et user:


Quote:

spoutnik user % ls -ld /tmp/mc-* drwx------  2 marck  wheel   512 19 oct 05:35 mc-marck drwx------  2 root   wheel   512 19 oct 05:44 mc-root drwx------  2 user   wheel   512 19 oct 05:33 mc-user

Je ne sais si cela est pertinent dans ton cas...

Marc

Question: qu'est-ce tu fait sur le forum à 06:19?

Mis à part ca, très bonne remarque. Pour celà je vais définir un TMPDIR par utilisateur.

Peut etre du coté ACL(Acces control list) voir MAC(Mandatory Access Control)

http://www.freebsd.org/doc/en_US.ISO8859-1/books/handbook/mac.html