Rechte-Kuriosum

[kullerhamPster]

Mir ist gerade mehr oder weniger zufällig etwas aufgefallen, was ich nicht verstehe. Ich habe gestern PHP und MySQL installiert. Heute habe ich ein wenig in den Logfiles des Systems gestöbert, und dabei ist mir aufgefallen, dass im secure.log, das normalerweise Passworteingaben etc. mitloggt, die PHP-Installation nicht auftaucht.
Ich hatte nicht drauf geachtet, ob ich bei der Installation von PHP jemals ein PW eingeben hatte. Nun habe ich den PHP-Ordner (/usr/local/php5) gelöscht, danach das System neu gestartet und die Installation wiederholt. Das Paradoxe: Ohne dass ich ein Passwort eingebe, wird besagter Ordner wieder erstellt, Besitzer ist root:wheel
Ich benutze zwar den normalen sudoer-Account, aber um die Besitzrechte eines Verzeichnisses auf root zu ändern, ist ja normalerweise die Eingabe des Kennworts notwendig. Hier nicht, und ich versteh' nicht ganz, wie das gehen kann. Macht das Installationsprogramm das von alleine? Und falls ja, wieso fragt es dann bei anderen Installationen (z.B. auch MySQL) nach dem PW?

 

[Terminal]

Genau. Das tut das in der Installation enthaltene Shellscript von allein. Aber natürlich nur - nachdem du die Ausführung der Installation von MySQL oder PHP mit einem Admin-Kennwort genehmigt hast. Einmal erlauben reicht. Daher ist es ja nicht gerade ungefährlich, unbedacht unbekannte Installationen auf dem System durchzuführen.

Manche Installer verlangen Root, andere widerum nicht. Da reicht dann der Admin-Account mit dem ein Benutzer seinen Computer verwalten darf aus.

 

[kullerhamPster]

Genau. Das tut das in der Installation enthaltene Shellscript von allein. Aber natürlich nur - nachdem du die Ausführung der Installation von MySQL oder PHP mit einem Admin-Kennwort genehmigt hast. Einmal erlauben reicht. Daher ist es ja nicht gerade ungefährlich, unbedacht unbekannte Installationen auf dem System durchzuführen.

Manche Installer verlangen Root, andere widerum nicht. Da reicht dann der Admin-Account mit dem ein Benutzer seinen Computer verwalten darf aus.

Das Seltsame ist aber ja, dass ich, soweit ich das sehe, niemals ein Admin-Kennwort für die PHP-Installation eingeben musste. Denn die entsprechenden Logfiles, also system.log oder secure.log, zeigen nichts dergleichen an.
Aber selbst wenn ich es mal eingeben hatte - wenn ich PHP danach wieder lösche und erneut installiere, müsste ich ja eigentlich abermals gefragt werden, oder?

 

[Terminal]

Ja, aber nur in einem Account in dem dieses Häkchen entfernt wurde:

Systemeinstellungen > Benutzer > Der Benutzer darf diesen Computer verwalten.

Viele Installer benutzen diese Abfrage der Rechtswirksamkeit, um einem Admin die lästige und zusätzliche Abfrage eines Kennwortes zu ersparen.

 

[kullerhamPster]

Ja, aber nur in einem Account in dem dieses Häkchen entfernt wurde:

Systemeinstellungen > Benutzer > Der Benutzer darf diesen Computer verwalten.

Viele Installer benutzen diese Abfrage der Rechtswirksamkeit, um einem Admin die lästige und zusätzliche Abfrage eines Kennwortes zu ersparen.

Hm, also normalerweise werde ich bei der Installation von irgendwas, was mit einem Install-Skript daherkommt, durchaus nach dem Passwort gefragt.
Schließlich ist der Standardbenutzer zwar eigentlich Admin, aber halt "nur" sudoer. Und das heißt ja gerade, dass er nach Eingabe seines Passworts temporär root-Rechte bekommt, aber eben nicht dauerhaft.
Und das Ändern der Besitzrechte eines Verzeichnisses auf root:wheel sollte eigentlich definitv nicht ohne sudo oder ein entsprechendes Äquivalent gehen. Und das heißt eigentlich: Passwortabfrage. Auch wenn der Benutzer den Computer verwalten darf.
Darf er das nicht, so sollte die Eingabe des eigenen Kennworts auch nix bringen, imo.

 

[Terminal]

Du vergißt dabei, daß das System im Namen eines Root fungieren darf. Und das tut es den ganzen Tag lang ohne dass du es je mitbekommst. Schau mal in das Programm "Aktivitätsanzeige" und du wirst staunen was da alles im Hintergrund mit Root-Rechten läuft. Auch MySQL und PHP sind Applicationen die zum Teil unter Root ausgeführt werden.

In deinem besagten Fall arbeitet das Script im Namen des Systems wenn es die Rechte der Dateien und Verzeichnisse anlegt. Außerdem ist es gut möglich, daß die Daten mit ihren Rechten übernommen werden beim Installieren. Die Rechte wurden also schon vom Ersteller des Installationspacket vorgegeben.

 

[Rastafari]

Und das Ändern der Besitzrechte eines Verzeichnisses auf root:wheel sollte eigentlich definitv nicht ohne sudo oder ein entsprechendes Äquivalent gehen. Und das heißt eigentlich: Passwortabfrage. Auch wenn der Benutzer den Computer verwalten darf.

Das siehst du ganz richtig.

 

[kullerhamPster]

Hm, dass es Services gibt, die mit root-Rechten laufen, wusste ich. Allerdings kann doch nicht einfach ein x-beliebigen Installer vorschlagen, welche Rechte er gerne hätte, und die kriegt er dann?! Was wäre denn, wenn ein böswilliges Paket als Installationspfad einen bereits existierenden Systempfad angibt?
Ich habe in einem anderen Forum gelesen, dass es einen Unterschied zwischen root- und Adminrechten gibt, erstere sind wohl die, die sudo brauchen, letztere nicht, wenn man einen Admin-Account hat. Was allerdings immer noch nicht erklärt, wieso das Verzeichnis root gehört - wenn der Installer das nicht einfach so gemacht hat.