Warto w tym momencie również wspomnieć, z racji popularności urządzenia, że cześć usług oferowanych przez serwer w sieci Internet, np. WWW, wymaga do działania tzw. strefy zdemilitaryzowanej, której z pewnością nie posiadają routery oferowane przez Telekomunikację Polską – liveboksy. DMZ posiada większość routerów dostępnych na rynku.

Jak nie posiada, jak posiada? Co prawda konfiguracja jest ukryta pod dziwnymi nazwami, ale da się to na Liveboksie zrobić nawet z poziomu panelu WWW – nie trzeba się przez telnet logować.

Akurat mam (nie)szczęście posiadać wyżej wymieniony router :P

b.YISK-u, czemu skrypt umieściłeś u siebie zamiast podlinkować w artykule jego oryginalną lokalizację

Z tego samego powodu, z ktorego Michuk naciska, by skriny w niusach na OSnews były hostowane na ImageShack – dana stronka może zmienić swoj adres, może zniknąć z Sieci, a moj blog raczej nie zniknie :)

Swoją drogą podałem oryginalną nazwę, podałem nazwisko autora

autorstwa Wolfganga Fuschlbergera o nazwie make_chroot_jail.sh

więc nie wiem do czego pijesz.

Wypadałoby od samego początku zwrócić uwagę, że

tekst jest w zasadzie dedykowany użytkownikom Linuksa.

Ponadto, konieczne jest zasygnalizowanie, że chroot jako taki nie gwarantuje żadnego bezpieczeństwa o ile działają w nim dziurawe procesy o UID=0 (lub o UID!=0, ale w środowisku chroot, o zgrozo, posiadającym dziurawe programy setuid-0). Jeżeli chcemy na dobre uwięzić proces, konieczne jest stosowanie technik wirtualizacyjncych takich jak VServer czy jail pod FreeBSD. Nie dla każdego może być to oczywiste.

Stosując środowisko chroot nie wydzielamy użytkownikom żadnej przestrzeni dyskowej, a jedynie ograniczamy mu dostęp do fragmentu systemu plików (z poprawką na powyższą uwagę).

b.YISK-u, czemu skrypt umieściłeś u siebie zamiast podlinkować w artykule jego oryginalną lokalizację (do znalezienia na: http://www.fuschlberger.net/programs/ssh-scp-sftp…?

Na koniec, jako alternatywę do tego skrypciku, polecam Jailkita, wspierającego poza Linuksem także Solarisa czy *BSD.

Osobiście zastanawiam się jednak czy nie można by wykorzystać UnionFS czy AUFS, podpinając katalogi /proc, /sys w środowisko chrootowalnym właśnie tak. Dodatkowo wszelkie lib-y, usr-y, bin-y tak samo można chroot-ować, choć może to nieco zmniejszyć poziom bezpieczeństwa(gdy nie mamy chroot-owalnych użytkowników). Jeżeli moje rozwiązanie okazałoby się dobre, to byłoby z nim znacznie mnie roboty. Jedynie menadżery pakietów dla chroot-owealnego środowiska nie działałyby dosyć dobrze(tzn. działałyby jedynie w przypadku, gdy nie modyfikujemy głównego systemu).