Verständnisfrage Programme <-> Benutzer <-> Verzeichnis

[zielscheibe]

Hallo NG!

Habe eine Frage wegen der Sicherheit von Programmen.
(z.B. mrtg oder smokeping)
Wenn ich mrtg laufen lasse, dann kann ich ja einen Benutzer
mrtg machen, dieser hat dann ja nur Zugriff auf seine
Dateien und könnte, falls irgendwo ein Bug drin wäre,
nicht das System gefährden.
Wo müssen aber jetzt die Dateien, welche zu dem Programm
gehören hin?
Kommt jetzt alles nach /home/programmname oder /usr/local/programmname ?
Ich installiere das Programm erst unter root und danach wechsel ich mit
chown den Benutzer oder muß erst den Benutzer anlegen und dann installieren ?

[RapidMax]

Das Programm wird normal installiert, d.h. es gehört dem Benutzer/Gruppe root:root und hat die Rechte 755. Nun richtest du einen Benutzer (Systembenutzer) und eine Gruppe ein, die sinnvollerweise so wie das Programm heissen. Üblicherweise richtet man dafür - wenn notwendig - ein home-Verzeichnis unter /var/run/$program ein. Als nächstes musst du noch dafür sorgen, dass das Programm und diesem Benutzer läuft. Daemons werden im init.d-Script gestartet, das ist je nach Distri unterschiedlich und oft auch schon so vorgesehen*. Wenn das Programm über Cron gestartet wird, muss nur dafür gesort werden, dass der richtige Benutzer in der /etc/crontab steht. (Es ist eher unüblich dafür die Benutzer-eigene Crontab zu verwenden).
Anders sieht es bei SUID/SGID Programmen und chroot-Umgebungen aus.

* Debian/Gentoo: start-stop-daemon --user $username --group $groupname

[zielscheibe]

Wenn das Programm über Cron gestartet wird, muss nur dafür gesort werden, dass der richtige Benutzer in der /etc/crontab steht. (Es ist eher unüblich dafür die Benutzer-eigene Crontab zu verwenden).
Also mit der etc/crontab hab ich schon gearbeitet aber nur mal zu Info:
Wo ist die Benutzer-eigene Crontab zu finden ?



Anders sieht es bei SUID/SGID Programmen und chroot-Umgebungen aus.

Kurze Erklärung was es mit SUID/SGID Programmen auf sich hat ?


Wenn ich jetzt ein Programm habe, dass mir eine "Weboberfläche erstellt"
muß die dann Mitglied in der Gruppe des Webservers sein oder reicht
es einfach Leserechte auf die Dateien, die anzeigt werden soll, zu setzen?