Restricted bash con apparmor

Molto spesso si ha l'esigenza di limitare quello che un utente può fare da una shell Linux. Storicamente su linux esiste il comando rbash (restricted bash) , che dovrebbe permettere di  bloccare gli utenti nella loro home e di consentirgli solo un set limitato di comandi.

Tuttavia molti non ritengono rbash particolarmente sicuro. Apparmor è invece ritenuto decisamente più sicuro, è  più maneggevole e più semplice da configurare.

Voglio riportare qua una semplice ricetta su come usare apparmor per creare una shell che consente ad un utente non privilegiato di utilizzare solo il comando ssh per connettersi a macchine remote, e niente altro. Una volta capite le basi di come procedere l'unico limite su cosa permettere o bloccare è la fantasia.

Cache plugin per wordpress a confronto

Mentre facevo un po' di performance tuning su un server web dedicato all'hosting condiviso mi è venuta la curiosità  di provare alcuni plugin di caching per wordpress. Per chi non lo sapesse i plugin di caching per wordpress a grandi linee fanno in modo di salvare su disco una copia statica delle pagine servite in modo da velocizzare le successive richieste e, nel contempo, ridurre il lavoro che deve compiere il server per eseguire codice php e query sul database.

Nuovo lavoro

E' da tanto tempo che non scrivo più nulla sul blog. Il fatto è che da luglio ho iniziato un nuovo lavoro che fino ad oggi mi ha completamente assorbito. Le energie mentali per scrivere qualcosa qua dentro sono ridotte al lumicino. Ma la situazione si sta assestando, lo shock da cambiamento sta scomparendo e sto rientrando in una dimensione un po' più normale.

Tra non molto credo che ricomincerò a scrivere qualche articoletto tecnico (la carne al fuoco non manca ;-)).

Nel frattempo mi scuso con coloro a cui non ho mai dato risposta. Forse sarò in grado di darne, ma forse anche no.

Ltsp su hardy

Finalmente trovo il tempo di scrivere qualche rapidissimo commento su ltsp su Ubuntu 8.04 (Hardy Heron).

Ad un primo colpo d'occhio ho notato che più schede grafiche vengono riconosciute correttamente e che viene settata la risoluzione corretta anche su monitor wide screen: senza fare niente di particolare mi è partito un thin client con il monitor wide screen correttamente impostato a 1440x900.

Ma tutti i piccoli miglioramenti passano un po' in secondo piano a causa di un serio problema in fase di installazione: il comando ltsp-build-client non va a buon fine e, dopo un po' che lavora, restituisce questo messaggio di errore:

Truffe e registrazione domini

Quattro o cinque anni fa avevo trovato un registrar particolarmente economico per comprarmi un paio di domini a poco. Si chiama (anzi, si chiamava) assurancehosting.com. Fino all'estate scorsa sembrava funzionare tutto abbastanza bene: avevo rinnovato senza problemi una registrazione. Qualche tempo fa mi è arrivata la solita mail che mi avvisava dell'imminente scadenza di un altro dominio. Ho quindi provato ad accedere al sito del registrar per effettuare il rinnovo ma - sorpresa - il sito non esiste più. Al suo posto una delle classiche pagine di parcheggio con link a pubblicità e motori di ricerca.
Ho indagato un po' e tramite whois ho visto che il mio dominio risultava gestito non più da assurancehosting.com ma da enom.com.
Ho pensato (probabilmente sbagliando) di lasciare scadere il dominio in questione, per registrarmelo di nuovo più tardi. E' stato un grave errore. Il dominio in questione risulta adesso gestito da enom.com. La cosa divertente è che una ricerca sui whois convenzionali non riporta nessun cambiamento, lo definisce come scaduto in data 21/4/2008. Invece una ricerca su whois.enom.com aggiunge qualche dettaglio in più: registrazione valida fino al 21/4/2009 (prolungata di un anno), status: "registrar-lock". In sostanza me l'hanno fregato prendendoselo automaticamente alla scadenza. Se lo voglio indietro devo prenderlo tramite afternic.com (di proprietà della stessa enom.com) e devo fare un offerta base di minimo 200$. Non c'è che dire: una bella trovata per fare soldi, non bella ma probabilmente legale.
In qualche forum ho letto di gente che ha decine di domini in questa situazione, e non domini fatti per hobby (che un po' dispiace ma in fondo c'è di peggio), ma nomi di dominio di aziende, le quali sicuramente saranno costrette a sborsare un minimo di 200$ per ogni nome.
Forse dovevo provare a fare un transfer prima che scadesse, cosa che sto provando a fare adesso per il dominio ancora valido. Il problema è che per fare un transfer devi prima pagare colui che sarà il nuovo registrar e poi provare il trasferimento, e io in genere i domini li tengo bloccati, come è giusto che sia.
Adesso sono in attesa del codice per poter procedere al trasferimento verso il nuovo registrar. Si prospettano due scenari:
1) Enom quando ha rilevato i domini registrati col defunto assurance hosting li ha posti in sblocco, chi provvede al trasferimento prima della scadenza può farlo senza problemi. Chi non provvede in tempo se li fa fregare e li deve recuperare a caro prezzo da afternic (che è sempre enom). Manovra da malviventi ma la possibilità te l'hanno data. E chi non lo fa è un pollo. Io lo sono stato per il dominio che ho fatto scadere ma riuscirò a riprendermi il secondo.
2) Enom rileva i domini di assurance hosting e li tiene bloccati. Io non riuscirò a trasferire il mio (buttando via 9$ nel tentativo) e alla sua scadenza se lo vorrò dovrò ricomprarmelo a caro prezzo su afternic. Se così fosse sarebbe davvero da denuncia. Stiamo a vedere.

Squid e autenticazione su ldap

Uno dei commenti al blog degli ultimi giorni mi ha fatto venire in mente una cosa che avevo messo in piedi tempo fa, che funziona molto bene e che può tornare molto utile per gestire/limitare/loggare gli accessi al web da una rete privata. Volevo fare in modo che il proxy server squid effettuasse le autenticazioni su un directory server openldap, ma ricordo di aver trovato qualche difficoltà nel reperire documentazione e di aver sudato non poco prima di riuscire. Quindi, nella speranza che sia utile a qualcuno, riporto qua le 4 righe da inserire in squid.conf per abilitare questa funzionalità.

LTSP tips & tricks

In questo post voglio svelare qualche piccolo trucchetto nell'impostazione del sistema LTSP su Ubuntu Gutsy che ho scoperto sulla mia pelle perdendoci molto tempo e prendendomi molte arrabbiature (e anche purtroppo qualche improperio dai clienti;-)). Alcuni sono farina del mio sacco, altri si scoprono frugando qua e la nel web, dispersi magari in qualche oscuro forum o bug report. Per questo credo sia utile metterli assieme tutti in una volta. Li dividerò in due tipi: quelli che risolvono problemi gravi e quelli che portano semplicemente qualche miglioramento al sistema.