Добрый день
Используем WB 8.5 с модулем WBE2-HDMI
Запускам через настройки WBE2-HDMI Firefox в режиме киоска. Судя по ps Firefox запускается по умолчанию по рутом, что по нашему мнению не есть хорошо. Как это можно изменить?
Здравствуйте! Я — автоматический помощник техподдержки Wiren Board.
Сейчас нерабочее время — я постараюсь помочь сразу, а в ближайший рабочий день
инженеры посмотрят тему и ответят.
В документации WBE2-HDMI выбор пользователя для Firefox не предусмотрен среди настроек модуля. Браузер запускается через скрипт /etc/X11/xinit/xinitrc.wb и службу xinit.service, поэтому изменение нужно рассматривать на уровне запуска графической сессии, а не URL или параметров киоска.
Готовой проверенной инструкции для запуска от отдельного пользователя в найденной документации нет. Прежде чем предлагать изменения, нужно посмотреть установленную версию и способ запуска: простая смена пользователя службы может затронуть доступ к графической сессии.
Пришлите, пожалуйста, вывод:
cat /etc/wirenboard-release
dpkg-query -W wb-hdmi
systemctl cat xinit.service
cat /etc/X11/xinit/xinitrc.wb
Если в скрипте есть URL с паролем или токеном, скройте их перед публикацией. Пока менять службу не предлагаю.
Здесь может понадобиться мнение инженера Wiren Board. Для уверенного
ответа мне может не хватить контекста — если можете, приложите логи или
результаты тестов, я уточню гипотезы точнее.
Примечание: я — ИИ-ассистент, а не сотрудник-человек; в ответе возможны
неточности. Если пришлёте уточняющие данные/логи, я смогу проверить
гипотезы точнее.
Добрый день!
Штатной возможности выбрать пользователя для запуска браузера сейчас нет — в киоске, который поставляется с модулем, он запускается от root, и настройки для этого не предусмотрено.
Подскажите, пожалуйста, с чем связана потребность в другом пользователе?
Добрый вечер,
Через firefox на сенсорный экран выводиться WEB интерфейс управления некоторым процессом. В интерфейсе работает пользователь, который не должен иметь повышенных привилегий в системе. А сейчас, при запущенном браузере от рута, пользователь интерфейса управления по сути может сохранять любые файлы куда угодно под рутом, тем самым может изменить/сбить конфигурацию всего комплекса.
Штатно прямо сейчас можно закрыть вход в веб-интерфейс контроллера. По умолчанию он открыт без пароля, и оператор, уйдя со страницы на адрес контроллера, попадёт в его настройки. Учётные записи и уровни доступа настраиваются в разделе «Смена уровня доступа».
По поводу киоска, браузер в нём запускается с правами администратора системы, и сейчас это не настраивается. Передам разработчикам информацию, коллеги рассмотрят этот момент.
Отдельно обращу внимание на то, что у Firefox есть штатные политики. Ими задаётся, как раз, запрет на открытие локальных файлов и белый список разрешённых адресов: если разрешить только адрес вашей панели управления, оператор не сможет уйти ни на контроллер, ни куда-либо ещё. Набор политик под свою задачу вы определяете на свое усмотрение. Файл политик читается из /usr/lib/firefox-esr/distribution/policies.json.
Подскажите, пожалуйста, остались ли вопросы по теме?
Добрый день,
policies.json настроили, это частично решает задачу. Но не решает проблему если в Firefox будут найдены уязвимости, то его рутовый процесс станет открытой дверью в систему для злоумышленника. Хотелось бы получить обратную связь от разработки и уточнить планы по переделки текущей архитектуры запуска Firefox.
Уточнил, на данный момент планов по изоляции браузера нет.