[kubuntu] Disable automount

[icyx]

Voor een project moet ik een Live CD maken die een beveiligde omgeving aanbied. Dit is helemaal geen probleem, op een klein puntje na: USB.
Het punt is, in deze gemodificeerde kubuntu live-cd kunnen users nog steeds usb sticks/disks mounten. Ze komen in dolphin gewoon links in het rijtje te staan zegmaar. Nu heb ik de user uit de plugdev groep gehaald, omdat ik dacht dat daar usb devices onder vielen. Dit blijkt echter niet zo te zijn, want de limited user heeft nog steeds de mogelijkheid om de disk te mounten.
Nu kan ik dit in principe wel extreem doortrekken, en USB mass storage device uit de kernel slopen, maar dat is ook weer zo extreem, zeker omdat het mooi zou zijn als root de boel nog wel gewoon mag mounten. Weet iemand hoe ik het kan blokkeren dat een user een USB device mag mounten?

[gertvdijk]

icyx schreef op donderdag 03 december 2009 @ 12:36:
Weet iemand hoe ik het kan blokkeren dat een user een USB device mag mounten?

In Ubuntu/GNOME is het heel eenvoudig. Als ik me niet vergis:
System -> Administration -> Users and Groups -> User selecteren -> Properties -> Privileges -> Mount user-space filesystems / Access external storage devices automatically.

[Verwijderd]

Maar aangezien het kubuntu is doet HAL waarschijnlijk het auto-mounten. Om dat gedrag aan te passen maak je gebruik van policy files in /etc/hal/fdi/policy/

Bijvoorbeeld (niet getest):

/etc/hal/fdi/policy/20-disable-automount.fdi

XML:

<device>
  <match key="block.is_volume" bool="true">
    <match key="@block.storage_device:storage.removable" bool="true">
      <merge key="storage.automount_enabled_hint" type="bool">false</merge>
    </match>
  </match>
</device>

Maar ik geloof dat HAL default niet auto-mount. (en kubuntu het dus als rule in een policy file heeft gezet) Dus ik zou eerst eens zoeken in de bestaande policy files of het daar ergens enabled staat.

[ Voor 17% gewijzigd door Verwijderd op 04-12-2009 10:21 ]

[gertvdijk]

Verwijderd schreef op vrijdag 04 december 2009 @ 10:19:
Maar aangezien het kubuntu is doet HAL waarschijnlijk het auto-mounten. Om dat gedrag aan te passen maak je gebruik van policy files in /etc/hal/fdi/policy/

Maar het gaat volgens de TS niet om het automounten, maar om gebruikers überhaupt geen rechten te geven om externe media te mounten (spreekt titel tegen).

[ Voor 5% gewijzigd door gertvdijk op 04-12-2009 13:06 ]

[icyx]

Verwijderd schreef op vrijdag 04 december 2009 @ 10:19:
Maar aangezien het kubuntu is doet HAL waarschijnlijk het auto-mounten. Om dat gedrag aan te passen maak je gebruik van policy files in /etc/hal/fdi/policy/

Bijvoorbeeld (niet getest):

/etc/hal/fdi/policy/20-disable-automount.fdi

XML:

<device>
  <match key="block.is_volume" bool="true">
    <match key="@block.storage_device:storage.removable" bool="true">
      <merge key="storage.automount_enabled_hint" type="bool">false</merge>
    </match>
  </match>
</device>

Maar ik geloof dat HAL default niet auto-mount. (en kubuntu het dus als rule in een policy file heeft gezet) Dus ik zou eerst eens zoeken in de bestaande policy files of het daar ergens enabled staat.

Erg bedankt, maar het gaat inderdaad om al het mounten te 'verbieden'.

gertvdijk schreef op vrijdag 04 december 2009 @ 13:06:
[...]

Maar het gaat volgens de TS niet om het automounten, maar om gebruikers überhaupt geen rechten te geven om externe media te mounten (spreekt titel tegen).

Klopt

Maar dit topic was helemaal niet nodig geweest, het is namelijk wel de plugdev groep die hiervoor verantwoordelijk is. Ik had het namelijk getest door me uit de plugdev groep te halen. Je moet dan alleen natuurlijk even opnieuw inloggen. Ik dacht dat ik dit had gedaan, maar omdat er iets tussendoor kwam was ik dit vergeten, en ging ik gelijk testen. Ik moest dus nog opnieuw inloggen

Maargoed, plugdev it is

[icyx]

Om mezelf maar omhoog te schoppen; recentelijk kreeg ik te horen dat de plugdev theorie niet helemaal opgaat. Lui als ik ben heb ik alleen getest of ik de HD in mijn VM kon mounten. Dit mocht niet, en daarmee was het geregeld dacht ik. Niet dus. USB sticks mogen nog wel gemount worden binnen de liveCD, en fysieke schijven in de systemen niet Er word dus goed geluisterd naar de conifgs Heeft iemand enig idee hoe dit komt? Als last resort kan ik altijd nog de mass storage device uit de kernel slopen, maar da's weer zo'n drastische maatregel dat ik het liever niet doe.

Edit: Even de oplossing voor dit probleem toch nog posten:

Verwijderd schreef op vrijdag 04 december 2009 @ 10:19:
Maar aangezien het kubuntu is doet HAL waarschijnlijk het auto-mounten. Om dat gedrag aan te passen maak je gebruik van policy files in /etc/hal/fdi/policy/

Bijvoorbeeld (niet getest):

/etc/hal/fdi/policy/20-disable-automount.fdi

XML:

<device>
  <match key="block.is_volume" bool="true">
    <match key="@block.storage_device:storage.removable" bool="true">
      <merge key="storage.automount_enabled_hint" type="bool">false</merge>
    </match>
  </match>
</device>

Maar ik geloof dat HAL default niet auto-mount. (en kubuntu het dus als rule in een policy file heeft gezet) Dus ik zou eerst eens zoeken in de bestaande policy files of het daar ergens enabled staat.

Dit heeft me in de goede richting gestuurd, omdat je ook een HAL policy kan creëren die er voor zorgt dat hal niets meer met de storage devices doet. Wanneer deze policy word gebruikt dan word er alleen nog maar naar fstab geluisterd voor storage devices:

XML:

<device>
  <match key="storage.policy.should_mount" bool="true">
    <merge key="storage.policy.should_mount" type="bool">false</merge>
  </match>
  <match key="storage.automount_enabled_hint" bool="true">
    <merge key="storage.automount_enabled_hint" type="bool">false</merge>
  </match>
  <match key="storage.media_check_enabled" bool="true">
    <merge key="storage.media_check_enabled" type="bool">false</merge>
  </match>
  <match key="volume.policy.should_mount" bool="true">
    <merge key="volume.policy.should_mount" type="bool">false</merge>
  </match>
  <match key="volume.ignore" bool="false">
    <merge key="volume.ignore" type="bool">true</merge>
  </match>
</device>

Zie ook dit topic op de opensuse forums.

[ Voor 63% gewijzigd door icyx op 27-06-2010 15:26 ]