Forum Debian Users Gang

Technicznie rzecz ujmując, to nigdy nie używałem udisks2, bo wcześniej miałem problemy dotyczące:
1) niechcianego automontowania zasobów USB,
2) braku możliwości określenia praw dostępu do montowanych zasobów (wszystkich, nie tylko tych automatycznie montowanych).

Do tej pory korzystałem z narzędzia udevil, które było w stanie skutecznie ograniczyć dostęp do zasobów określonym użytkownikom, a że też ludzie źle pisali na temat udisks2, to w zasadzie nie chciało mi się nim bawić. Jednak przy (prawdopodobnej) migracji na KDE, udisks2 jest podpięty nawet gdy się instaluje najmniejszy możliwy zestaw pakietów i nie da rady się pozbyć udisks2 jeśli chce się mieć KDE. Postanowiłem zatem się trochę przyjrzeć temu udisks2 i zobaczyć ile jest prawdy w tym co ludzie gadają, czyli, że tego narzędzia nie powinno się instalować. xD

Poza samym udisks2, w repo Debiana są jeszcze dodatkowe pluginy (pakiety libblockdev-*), które można sobie dograć według potrzeb, np. są moduły od device-mapper'a, lvm2, szyfrowania, loop, itp. Niemniej jednak, sam udisks2 nie realizuje automatycznego montowania zasobów — one muszą być montowane za pomocą jakiegoś zewnętrznego mechanizmu i zwykle menadżery plików go oferują. Tak czy inaczej, istnieje także dedykowane narzędzie do tego celu, tj. udiskie (taki frontend dla udisks2).

Po zainstalowaniu tych powyższych pakietów, system będzie nam montował praktycznie wszystkie zasoby USB automatycznie, co może trochę wnerwiać człowieka, zwłaszcza jak się ma do czynienia z pendrive, który ma wiele partycji. By sobie ogarnąć ten cały udisks2/udiskie trzeba sobie napisać regułę dla udev'a, a właściwie to parę reguł.

Pierwsza z reguł przerobi wszelkie zasoby USB na systemowe. Można oczywiście sobie dowolnie dopasować urządzenia, ja jednak chcę by standardowy użytkownik nie miał prawa bawić się zasobami USB bez wyraźnej zgody. Dlatego stworzyłem sobie plik /etc/udev/rules.d/81-udisks2-block.rules i w nim ta pierwsza reguła wygląda tak:

SUBSYSTEMS=="usb", \
  ENV{UDISKS_IGNORE}="1", \
  ENV{UDISKS_AUTO}="0", \
  ENV{UDISKS_SYSTEM}="1"

Powyższe wpisy mają na celu ustawić szereg zmiennych w środowisku udev'a. W oparciu o te zmienne operuje udisks2/udiskie . Zmienne: UDISKS_IGNORE ma na celu ukrycie podłączanych zasobów w różnych aplikacjach, np. menadżerach plików ale to czy tak będzie w istocie zależy już od samych aplikacji. Zmienna UDISKS_AUTO wyłącza automatyczne montowanie zasobów, a UDISKS_SYSTEM przerabia zasoby na systemowe.

Po ustawieniu tej ostatniej zmiennej nie będzie już można zamontować żadnych zasobów USB jako zwykły user, tj. będzie wymagany root — tego typu rozwiązanie (wraz z zablokowaniem automontowania zasobów) znacznie poprawia bezpieczeństwo systemu . Jeśli ktoś by spróbował zamontować zasób USB po ustawieniu tych powyższych opcji, to zostanie mu zwrócony poniższy  komunikat:

Error creating textual authentication agent: Error opening current controlling terminal for the process (`/dev/tty'): No such device or address (polkit-error-quark, 0)
Error mounting /dev/sdc1: GDBus.Error:org.freedesktop.UDisks2.Error.NotAuthorizedCanObtain: Not authorized to perform operation

Oczywiście tego tupu rozwiązanie, o ile bardzo bezpieczne, to nie jest zbyt poręczne. Można dodać drugą regułę, która będzie miała na celu włączyć możliwość montowania zasobów jako zwykły użytkownik, w tym też automontowania określonych urządzeń. W tym celu trzeba dodać poniższą regułę:

ENV{DEVTYPE}=="partition", ATTRS{serial}=="001CC0EC34A2BB318709004B", \
  ENV{UDISKS_IGNORE}="0", \
  ENV{UDISKS_AUTO}="1", \
  ENV{UDISKS_SYSTEM}="0"

Dopasowuje one urządzenia w oparciu o to czy mamy do czynienia z partycją (dyski zwykle nie mają systemu plików) oraz konkretnym numerem seryjnym urządzenia. Można pójść o krok dalej i dopasować nawet ID_FS_UUID, czyli zmienną przechowującą UUID systemu plików na danej partycji.

W taki sposób udisks2 jest w stanie udostępnić zwykłemu użytkownikowi tylko pewne określone urządzenia, na których może on operować. No i gdy ktoś nam podłączy swojego pendrive do kompa, to oczywiście nie da rady wejść z tym urządzeniem w interakcję i zgrać/wgrać danych z/na kompa, co jest bardzo użyteczne. Także jak widać, nie taki udisks2 straszny, wystarczy ogarnąć udev'a, a dalej to już samo pójdzie. xD

Ostatnio edytowany przez morfik (2018-04-03 17:50:06)