Питання безпеки бази даних логів journald

[alekseev]

Якщо усім користувачам відкрито на читання файл логів.
Якщо користувач скопіює собі на комп'ютер файл логів. Чи зможе він подивитись весь лог

[prapor]

Як завжди, питання містить у собі відповідь й насправді формулюється так: якщо користувач взмозі прочитати файл, чи зможе він його прочитати?

[Харитон]

якщо файл створено користувачем, то власником буде він. права доступу до файлу будуть такі які цьому користувачу виставлені в umask.Тому якщо користувач нічого не змінював в правах доступу по замовчанню, то він зноче прочитати й навіть записати в файл.

[alekseev]

Так, но усім є право на читання. Усі можуть прочитати локально лог. Усі можуть дізнатися, що встановлено на сервері

[alekseev]

Як завжди, питання містить у собі відповідь й насправді формулюється так: якщо користувач взмозі прочитати файл, чи зможе він його прочитати?

У чому мета відривати усім користувачам до того що коїться у системі?
А якщо одному користувачу не потрібно бачити, що робиться у іншого.

[prapor]

Не усім. Залежно від дистрибутиву там різні групи, що мають доступ до системних журналів. Але користувач, що його створено під час інсталяції зазвичай входить в групу, яка має права на читання системних журналів. Нові користувачі, зазвичай, мають де-що менший рівень доступу.

[alekseev]

Не усім. Залежно від дистрибутиву там різні групи, що мають доступ до системних журналів. Але користувач, що його створено під час інсталяції зазвичай входить в групу, яка має права на читання системних журналів. Нові користувачі, зазвичай, мають де-що менший рівень доступу.

Добре а як зробити доступ на файла бази даних journald, щоб копіювання файлу було обмежена. Але кожний користувач міг побачити свої логи, даже в тому випадку коли у нього не має прав читання до файлу бази даних journald

[Харитон]

Мабуть це вам треба:

SplitMode=Controls whether to split up journal files per user, either "uid" or "none". Split journal files are primarily useful for access control: on UNIX/Linux access control is managed per file, and the journal daemon will assign users read access to their journal files. If "uid", all regular users will each get their own journal files, and system users will log to the system journal. If "none", journal files are not split up by user and all messages are instead stored in the single system journal. In this mode unprivileged users generally do not have access to their own log data. Note that splitting up journal files by user is only available for journals stored persistently. If journals are stored on volatile storage (see Storage= above), only a single journal file is used. Defaults to "uid".https://www.freedesktop.org/software/systemd/man/journald.conf.html