On Mon, 16 Feb 2009, Tristan wrote:

> (autor Gotfryd Smolik news
[...do Tristana a on do kogoś...]
>
>>>>>> i NIE DA SIĘ TEGO ZROBIĆ W ŻADNEN SPOSÓB ...
>>>>> Wydaje ci się. Da się i jest możliwe. Można przydzielać dowolnie ACL-e.
>> ACL wymaga autoryzacji *na użytkownika*.
>> Nie *na hasło*.
>
> A użytkownik ma hasło, nicht wahr? Więc bez znajomości jego hasła, nikt się
> nie dostanie.

Ale za to dowolny inny użytkownik, zupełnie nieświadom tego co my
ustawiamy, może ustawić dla tego "dostępowego" użytkownika dodatkowy
inny dostęp.
Po prostu - taki "dodatkowy użytkownik" ma *nie tylko* te dostępy,
ktore są określone danym zasobem. I te "zbędne dostępy" są nie do
uniknięcia.

> Ah, no to na tym polega normalna praca. Czy w protokole SFTP masz takie
> magiczne opcje?

Wiesz, ja w ogóle mam niskie mniemanie o protokołach z rodziny IP.
Poza tym że (ze względu na prostotę) zawładnęły światem jakoś
nie są dla mnie wzorem wszystkich rozwiązań ;)

>> Za krótka wyobraźnia?
>> Po to, żeby użytkownikow nie zakładać fafset skoro nie trzeba.
>
> No to załóż jednego i podaj jego hasło wszystkim i będziesz miał jak w 98.
> Tylko zamiast HASŁO trzeba będzie podać USER:HASŁO.

Nie rozumiesz.
Problemem jest, że na tego użytkownika inni mogą dać inne dostępy.
Nie ma kontroli "jednopunktowej". Udostępniającej tej jeden jedyny
zasób.
I nie posługuj się przypadkami, w których właśnie taki sposób
udostępniania jest bezsensowny - bo oczywiscie takie istnieją.
Brak możliwości stworzenia dedykowanego dostępu "na pojedyncze
hasło do pojedynczego zasobu" jest ograniczeniem i tyle.
To że można je obejść... to dobrze ;)

>> Przede wszystkim taka autoryzacja (przez użytkownika) nie może
>> być *bardzo* prosto ograniczona do przykładu którego żąda
>> Tommy - czyli przykładowego jednego katalogu (i tylko niego).
>
> Jak nie? Udostępnionym katalogom przydzielasz prawa tak, że ten user dostaje
> prawa tylko dla tego katalogu.

Jeszcze raz: nie mozesz ZAPOBIEC temu, że taki user będzie miał
dostęp do INNYCH zasobów.
Kto inny mi da dostęp (inny użytkownik) i będzie miał (dostęp),
a nie będzie różnicy miedzy tym dostępem "jedynym" (który chciałeś
dać) a innymi (które ktoś inny dał).

>> Przy dostępie "na hasło" jest prosto - żądający dostępu musi znać
>> TYLKO nazwę zasobu (ze ścieżką) i hasło.
>> A jednocześnie to hasło nie daje (i to z 100% skutecznością nie daje)
>> żadnych innych dostępów - bo przywiązane jest TYLKO do tego zasobu.
>
> No ale to jest zabieranie się do sprawy od dupy strony. Idea jest taka, że
> masz swój login i hasło i on ma prawa lub nie do określonych działań.

To jest idea pracy "przez użytkownika".
Bardzo dobra i najlepsza w istotnej większości przypadków.
Co nie jest tożsame z "zawsze".

>> To, że brak autoryzacji *zasobu* "na hasło" (bez użyszkodnika) jest
>> istotny jest oddzielną sprawą i tylko do tego się wetknąłem.
>
> No to załóż usera NONAME.

Kiedy chodzi o to, aby nie dawać *zbędnych* uprawnień.
Uniknięcie zbędnych uprawnień dla użyszkodnika, wbrew pozorom,
wcale nie jest takie proste.
Klasyka (w WinXP): dostęp na "wszyscy użytkownicy".
I tak jest we wszystkich systemach. Jak OS zawiera mechanizm dostępu
"na hasło" niezależnie od użyszkodnika, to pozwala łatwo nie dać
dostępu do tego co mają "wszyscy użytkownicy" dając go do wybranego
zasobu.
Wystarczy primitywna obsługa na poziomie języka komend i możliwość
dedykowanego "odpalenia".

> Windows 98 miał atrapę bezpieczeństwa.

A to inna sprawa.
To zaś, że miał INNY mechanizm, który był ZALETĄ, to zupełnie inna.
I *odrębna* od owej atrapowości.

pzdr, Gotfryd