daily memorandum 2.3.0

_ [FreeBSD] portupgrade を久し振りにメンテ

約1月ぶりに portupgrade をメンテ。 2ヶ月ほど前に kris に 「INDEX.db の名前を INDEX-6.db みたいに FreeBSD のバージョン付きにしてよ」 って言われてたので、そのようにしてみますた。 ports/89520 です。

INDEX.db の名前は環境変数で変えられると思ってたのだけど、 directory だけ ($PORTS_DBDIR) だったのね。。。

_ [FreeBSD] portupgrade が時々メタクソ遅くなる

例えば portversion(1) とかが時々メタクソ遅くなることがある。 これは自分でも数年前から気になっていたし、 いくつか関連してると思われる PR も見られるので、 昨日から(ようやく)本気で調べ始めた。

その結果、どうやら pkgdb(1) がどこかで再帰的に呼ばれてるためらしい、 ということまで突き止めた。 portupgrade の中で pkgdb(1) が呼ばれている場所があることは知っているので、 そこを手掛かりにもう少し追いかければシッポつかめるかな。。。

_ [security] sudo から interactive shell が実行できないようにするには (2)

tamoさんのアイデア はヨサゲだったので、ちょっと試してみました。

まず、/usr/local/bin/resh という shell script を作る。中身はこんな感じ:

 #!/bin/sh
 PATH=/var/resh /usr/local/bin/bash --restricted -c $*

で、/var/resh に実行を許したいコマンドだけ symbolic link しておく。

さらに、sudoers にはこんな感じに書いておく:

  Cmnd_Alias   SHELLS = /bin/sh, /bin/csh, /bin/tcsh, /usr/local/bin/bash
  Cmnd_Alias   SHELLS_RESTRICTED = /usr/local/bin/resh

  koma2        ALL=(root)      ALL, !SHELLS, SHELLS_RESTRICTED

以上で期待通りに動くのだけど、

• 許可するコマンドだけリストアップするってのはめんどいなぁ。その方が安全なのは確かなのだけど。
• これって、sudosh を -c つきでだけ許可するのと同じこと？

なんて思ってみたりして。。。