[AlternC-dev] Ticket 594

Retour à l'archive de la liste
Le site d'AlternC
Google Custom Search

Olivier HUET o.huet at apogea.net
Mer 22 Mar 18:44:47 CET 2006



-----Message d'origine-----
De:	The Anarcat [SMTP:anarcat at anarcat.ath.cx]
Date:	mercredi 22 mars 2006 18:23
A:	Liste de Developpement de nouvelles fonctionnalite s pour AlternC
Objet:	Re: [AlternC-dev] Ticket 594

Je comprends tes preoccuppations. Etant celui qui a tagge ce bug pour la
0.9.4, je vais tenter de repondre.
[Olivier HUET]  Je t'en remercis :)

Au passage je m'excuse pour ceux qui lisent leur mails tries par Thread, 
j'utilise encore Outlook97 au boulot et il envoi les mails a la cochon... 
donc mes mails sortent des threads :'(
(et en plus pour les quotes c'est le "bonheur")
Malheureusement je vais devoir encore attendre un petit peu avant de 
pouvoir en changer :(


creees independamment des bases mysql normales. Ceci veut dire qu'il y a
bel et bien un user "root" MySQL tout puissant dans la base. Si on cree
un user "root" AlternC, celui-ci va egalement avoir tous les droits.
C'est selon moi un gros probleme de securite qu'il fallait corriger
avant la sortie de 0.9.4.
[Olivier HUET]  Je comprend.


> Et quid des installs qui ont un compte "root" et qui l'utilisent ?
C'est leur probleme.
[Olivier HUET]  C'est pas sympa ca comme reaction ;-)


Et en fait, il n'y a pas vraiment de probleme: les
anciennes installations ont un mysql independant dans /var/alternc/db et
0.9.4 ne forcera pas cette migration.
[Olivier HUET]  Ok, je prefere ca :)


Je viens cependant de remarquer: le compte "admin" va logiquement etre
cree par dessus les comptes "root" deja existants, alors ca c'est un
probleme clair. Nahuel, il faudrait corriger et s'assurer qu'on cree le
compte admin seulement si le compte "root" n'existe pas deja.
[Olivier HUET]  J'ai bien fait de poser la question alors ;-)


Je serais aussi curieux de savoir s'il y a des choses qui empechent
alternc de creer des membres avec des user mysql deja existant (e.g.
creer un user root par dessus une base MySQL avec un user mysql root
deja existant pose probleme).
[Olivier HUET]  Effectivement je pense que c'est a tester.
Et pour les install pour lesquels il existe deja un compte mysql "admin" ? 
(parceque c'est assez commun finalement comme nom de compte)

Personnellement je partais du principe que AlternC ecrasait tout mon 
systeme et me parametrait tout correctement. De ce fait, je n'etais pas 
choque qu'il ecrase MySQL et se cree son propre compte root.
En partant du principe que ce ne doit plus etre le cas (ce que je peux 
comprendre), ca veut dire qu'il va falloir gerer toutes les merdes 
auxquelles on peut s'attendre lorsqu'on install AlternC sur un system deja 
vivant... et le fait qu'un compte "admin" ou "root" existe deja est 
probablement un probleme.

Suggestion (qui vaut ce que ca vaut) : faire preceder tous les comptes 
MySQL crees par AlternC par "alternc_".
Ainsi, le compte mysql root d'AlternC serait "alternc_root" ou 
"alternc_admin"...
Si on cree un compte "olivier", ca creerait un compte "alternc_olivier" et 
laisserait en paix un eventuel compte MySQL "olivier".

Qu'en pensez vous ?
(le prefix "alternc_" n'est pas forcemment le mieux, si vous avez d'autres 
idees... "ac_" ? )


> Si les prochaines version parlent d'admin plutot que de root, alors il
> faudrait peut etre (je pose la question) renomer l'utilisateur root
> existant en admin et en informer l'administrateur ?
Probablement, mais c'est un peu la galere de renommer un utilisateur
AlternC, alors je suggere que ceci ne soit pas fait dans 0.9.4 et qu'on
respecte simplement les anciens installs.
[Olivier HUET]  ok.


> Bon, d'accord, j'avais qu'a me reveiller plus tot et en parler quand j'ai 
> vu ce qui etait prevu pour la 0.9.4 ;-)
Effectivement. :)
[Olivier HUET]  C'est tout moi ca ;-)


> N'empeche que moi ca me fait peur ce genre de modif pour une freeze...
Moi aussi, mais ca me fait moins peur ca qu'un compte root alternc tout
puissant dans mysql.
[Olivier HUET]  Effectivement, surtout s'il y a deja d'autres bases...





Plus d'informations sur la liste de diffusion Dev