Merge branch 'canoe' into vlock-2
[vlock.git] / SECURITY
blobbeb98e52a7637761675e3e5f98d65fae9f41d9a0
1 OVERVIEW
2 ========
4 vlock is a denial of service tool.  Linux allows any user logged into the
5 virtual console to lock the system completely.  vlock takes this one step
6 further and potenially grants this ability (and potentially other, even more
7 hazardous ones) to any user through the use of plugins.
9 The default installation sets permission that allow only users in the vlock
10 group to run dangerous modules.  Others will still be able to lock their own
11 console or terminal and run plugins that are considered secure.
13 This behavior is configurabe through ./configure option or by editing
14 config.mk.
16 DETAILS
17 =======
19 vlock-main allows plugins to extend its functionality.  These plugins are
20 separated into two groups:  modules and scripts.  Both are only loaded from
21 locations that are specified at compile time.  It is extremely important that
22 these directories are only writable by privileged users.
24 MODULES
25 -------
27 Modules are shared objects that are loaded into vlock's address space.  Because
28 vlock will most likely be installed setuid-root care must be taken that these
29 modules are secure themselves and that access to potentially dangerous modules
30 is limited to trusted users.  UNDER NO CIRCUMSTANCES MUST UNPRIVILEGED USERS BE
31 ALLOWED TO PUT THEIR OWN MODULES INTO VLOCK'S MODULE DIRECTORY.  Doing this
32 would allowing them to run any code they want with elevated privileges, i.e.
33 as root.
35 SCRIPTS
36 -------
38 Scripts may be any kind of executables located in vlock's script directory.
39 They are run with with lowered privileges, i.e. the same as the user who
40 started vlock, in a separate process.  They also don't have direct access to
41 the terminal vlock runs on and thus may be considered a relatively secure
42 alternative to modules.  For any privileged operations they want to perform
43 they have to use helpers such as sudo.  Although less dangerous than modules
44 vlock's script directory must still be protected the same as the module
45 directory.