Homeverzeichnisse sind für alle lesbar

[Rüdiger Kupper]

Als ich im Rahmen meines Projektes den Schülern gezeigt habe, wie sie sich auf der Kommandozeile im Dateisystem bewegen, ist mir (erneut) aufgefallen, dass alle unsere Homeverzeichnisse Welt-lesbar sind. D.h. jeder Nutzer, auch Schüler, können bei jedem anderen Nutzer (auch Lehrern!) ins Homeverzeichnis schauen.
Die Philosophie dahinter war wohl, dass das Schulnetzwerk ohnehin nicht für private oder geheime Zwecke gebraucht werden soll.

Was mich irritiert ist aber, dass auch Schüler die Homes der Lehrer lesen können. Es gibt sicherlich einige Kollegen, die z.B. ihre nächsten Klassenarbeiten im Homeverzeichnis liegen haben -- dafür ist es ja auch gedacht.

Die meisten Schüler wissen vermutlich nicht, wie das Dateisystem aufgebaut ist und wo man die Homeverzeichnisse findet. Zumindest die aus meinem Projekt wissen es jetzt aber. Wir haben zwar auch über "Verhaltensregeln" in Netzwerken gesprochen, aber früher oder später wird sicher ein Schüler auf die Idee kommen, vor einer Arbeit mal im Homeverzeichnis des Lehrers zu stöbern...

Frage: Haben wir da mit unserem NFS-Zugriff vielleicht ein Zugangsloch aufgemacht, das bei der Musterlösung nie vorgesehen war (der Samba-Zugriff mountet ja immer nur das Verzeichnis des aktuell eingeloggten Nutzers)? Dann sollten wir das schleunigst schließen!

Ich schlage vor:

• im gesamten Dateibaum unterhalb der Lehrer-Homeverzeichnisse die Welt-Leserechte und Welt-Listrechte entziehen
• die umask der Kollegen so ändern, dass neue Dateien mit entsprechenden Rechten angelegt werden (wo macht man das? Da muss es ein systemweites Conig-Skript geben, sonst in der .bashrc)

Lehrer können dann untereinander ihre Homeverzeichnisse noch lesen, weil diese der Gruppe "teachers" gehören. Schüler sind aber nicht in dieser Gruppe.

(Auf den Tauschverzeichnissen sind übrigen korrekte Rechte gesetzt, die Schüler können beispielsweise nicht das Lehrertauschverzeichnis auflisten.)

[bau]

Nicht schön :-(
Aber es ist, wie du meintest: Die ML sieht nur einen Zugang per SMB-Mount vor - auch für Linuxclients, damit existiert das Problem dort nicht!
Ich denke so schnell wie möglich den Workaround durchführen, dass die Files erstmal alle ihr World-Readable verlieren - mal sehen, was wir uns damit für Probleme einkaufen. Man könnte dann ja allen Gruppenusern verbieten, in fremde Homeverzeichnisse abzusteigen.

[Rüdiger Kupper]

Ich habe gerade mal die minimalinvasive Lösung gemacht:

root@paedml:~# chmod o-x /home/teachers/

Damit haben Schüler kein Recht mehr, das Verzeichnis /home/teachers/ zu listen. Damit haben sie auch keinen Zugriff mehr auf die Dateien unterhalb. Auf diese Weise können die Dateirechte auf den eigentlichen Dateien so bleiben. Sonst handeln wir uns vielleicht wieder andere Probleme ein (Beispiel: Ein Lehrer kopiert eine Datei in das Homeverzeichnis eines Schülers, dann kann der Schüler sie anschließend lesen. Würden wir die Leserechte auf allen Dateien entziehen, müsste der Lehrer die Leserechte erst wiederherstellen.) Keine Ahnung, was hier die beste Strategie ist.

Einstweilen besteht jetzt aber keine Gefahr mehr.

[Rüdiger Kupper]

Dieses Problem war nach dem Serverupgrade wieder aufgetaucht: Die Lehrerhomes hatten wieder die rechte "rwxr-xr-x". So wie die LML funktioniert, ist das kein Problem, weil ein an einem Client eingeloggter Nutzer immer nur sein eigenes Homeverzeichnis sieht.
Bei uns, die wir den gesamten Verzeichnisbaum per NFS mounten (tun wir ja neuerdings wieder ;-) ), ist das sehr wohl ein Problem. Habe die Rechte wie oben angegeben wieder gesetzt.

[Stephan Richter]

Ein ähnliches Problem!?

Ein Schüler merkte an, dass er die Dateien eines Mitschülers lesen kann. Ist das by design? Dann sollten wir die SuS dahingehend erziehen/sensibilisieren.

[Stephan Richter]

Bei genauerer Untersuchung: Das geht nur, wenn man den Pfad kennt. SuS können die Verzeichnisse der anderen SuS nicht listen. --> bleibt so.

[Rüdiger Kupper]

Für's Protokoll:

• die Berechtigungen der Verzeichnisse werden mit dem Befehl sophomorix-repair --permissions gesetzt.
• die einzelnen Berechtigungen sind festgelegt in /usr/share/sophomorix/devel/repair.directories bzw. in den anderen Dateien in diesem Verzeichnis.