[pyar] Peligrosidad de un lambda

[Ricardo Araoz]

On 01/10/10 18:41, QliX=D! [aka EHB] wrote:
>
>> Veamos el caso de eval(). Digamos que lo que meto dentro de eval
>> proviene de una base de datos en la que tengo scripts que permito
>> modificar a ciertos usuarios de confianza. Ves como siempre hay que usar
>> el criterio?
>> Digamos que lo que meto dentro de eval proviene del usuario local de la
>> máquina y NO hago setuid. En ese caso con eval sólo se puede hacer lo
>> que el usuario de todas maneras puede hacer. Ves como siempre hay que
>> usar el criterio?
>> En el caso que se presentó de un script que usa eval y setuid, acá el
>> problema no es el eval(). Es el setuid!!!! Ves como siempre hay que usar
>> el criterio?
>>     
> Ok, usa el criterio que quieras, pero estas asumiendo el nivel de
> riesgo con el criterio nada mas.
> Asumir el nivel de riesgo es parte de un analisis completo de
> seguridad, pero tus analisis de criterio presuponen un unico uso de la
> aplicacion, en un entorno controlado.

También presuponen que la aplicación no va a ser usada para mantener una
central nuclear. Que va a ser usada desde una computadora. Que no va a
ser usada por Klingons........
Generalmente antes de hacer una aplicación "presupongo" para qué la voy
a usar. Y si algún día la uso para otra cosa soy grande y pensante y
ejerceré el criterio para ver si la tengo que modificar. Tu
presuposición es que todo se va a usar sin usar el cerebro para
cualquier cosa. Tal vez sea cierto en algún mundillo. Te garantizo que
en el área que me muevo las cosas se piensan antes de hacer, si no, se
pierde mucha guita (poniendo una seguridad innecesaria también).

>  Entonces bajo ese nuevo entorno
> estas asumiendo el nivel de riesgo. PERO los entornos no son 100%
> controlables y no son monotonos.
>   

El entorno en el que te describo la aplicación es controlable y no hay
nivel de riesgo. Si alguien vulneró el sistema como para modificar la
base de datos (donde están los strings que alimentan a eval()) sin
permiso entonces el sistema está comprometido y el script en cuestión no
le va a aportar nada.

> Pero bueno parafraseando algun gran sabio te voy a decir: "Hace lo que
> quieras" :)
>   

O lo que te de el criterio y la cabeza.