アカウント名:
パスワード:
最低限の権限で動かせば、仮にセキュリティホールがあっても被害が最小限で済むのにいまのWindowsには、サンドボックス的な機能が標準装備されてるんだからそれ使えばいいのに
Linux だって、1024 番未満のポートは “privileged port” と呼ばれてですね、root が無いと bind できないんですよ。逆に root 以外が bind できてしまったら、root より先にそのポートを bind して偽のサーバを動かすといった攻撃ができちゃうでしょ。
DNS System の port は何番だか知ってますか?答えは53番です。つまり、これを bind するには Administrators の権限がいるのは当然のことです。
最近じゃあ、*nixでは起動時だけroot権限どころか、むしろrootだと起動できないサービスの方が多い。さらに外部とやりとりするようなサービスでは、昔からchrootやjailなどで囲って起動するなど当たり前だし。qmailやpostfix、dovecotなどに代表されるように、用途に応じて多数のプロセスとユーザを使いわけ、キュー管理やロギングなどの権限が必要となるプロセスにだけroot権限を付与するやり方。POSIX Capabilityによる、単純にそのまま使うには強力すぎるroot権限の分離、seccompによるサンドボックス化などなど、root権限ひとつ使うにしてもそのまま使うことの方
ADサーバーは、他の役割と兼用を禁じているので、(個人から見ると高い)WinSv1ライセンスを使って、広義のサンドボックスになっている?後、SysVolはnamed/chroot/etcみたいなものでは?また、権限分割ですが、rootとWinのアクセス許可・拒否だと、後者の方が細かい様にも見えますが?さらに、ベストプラクティスとして、公開用のDNSはLinuxとかでして、ADのDNSは外部に見せるなとかも有ります。もちろんADは、ゼロトラスト的には不十分かもしれませんが、ゼロトラストは全ての箇所で確認する代わりに、箇所での多重防御が疎かになっている嫌いが有るので、よしわるしです。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
「科学者は100%安全だと保証できないものは動かしてはならない」、科学者「えっ」、プログラマ「えっ」
なんでDNSサーバをシステム権限で動かすんだ? (スコア:0)
最低限の権限で動かせば、仮にセキュリティホールがあっても被害が最小限で済むのに
いまのWindowsには、サンドボックス的な機能が標準装備されてるんだからそれ使えばいいのに
Linux だってそうでしょう (スコア:0)
Linux だって、1024 番未満のポートは “privileged port” と呼ばれてですね、root が無いと bind できないんですよ。
逆に root 以外が bind できてしまったら、root より先にそのポートを bind して偽のサーバを動かすといった攻撃ができちゃうでしょ。
DNS System の port は何番だか知ってますか?
答えは53番です。
つまり、これを bind するには Administrators の権限がいるのは当然のことです。
Re: (スコア:-1)
最近じゃあ、*nixでは起動時だけroot権限どころか、むしろrootだと起動できないサービスの方が多い。
さらに外部とやりとりするようなサービスでは、昔からchrootやjailなどで囲って起動するなど当たり前だし。
qmailやpostfix、dovecotなどに代表されるように、用途に応じて多数のプロセスとユーザを使いわけ、キュー管理やロギングなどの権限が必要となるプロセスにだけroot権限を付与するやり方。
POSIX Capabilityによる、単純にそのまま使うには強力すぎるroot権限の分離、seccompによるサンドボックス化などなど、root権限ひとつ使うにしてもそのまま使うことの方
Re:Linux だってそうでしょう (スコア:0)
ADサーバーは、他の役割と兼用を禁じているので、(個人から見ると高い)WinSv1ライセンスを使って、
広義のサンドボックスになっている?
後、SysVolはnamed/chroot/etcみたいなものでは?
また、権限分割ですが、rootとWinのアクセス許可・拒否だと、後者の方が細かい様にも見えますが?
さらに、ベストプラクティスとして、公開用のDNSはLinuxとかでして、ADのDNSは外部に見せるな
とかも有ります。
もちろんADは、ゼロトラスト的には不十分かもしれませんが、ゼロトラストは全ての箇所で確認する
代わりに、箇所での多重防御が疎かになっている嫌いが有るので、よしわるしです。