Как отключить CD-ROM и USB для обычных пользователей в Linux?

Проще всего удалить пользователей из групп 'cdrom' и 'plugdev' в /etc/group.

Как насчет попытки

chkconfig haldaemon off

Это не позволит обычному пользователю видеть устройства со съемными носителями. Только root сможет получить доступ к съемным носителям.

Самое простое, что я нашел, это просто:

sudo chmod 700 /media

Ubuntu монтирует съемные носители в /media, поэтому изменение разрешений для / media - самый простой способ запретить доступ. Это безопасное и легко обратимое решение.

Для простой защиты от непрофессионалов пользователей достаточно внести в черный список модуль usb-storage:

modprobe -r usb-storage
echo blacklist usb-storage >> /etc/modprobe.d/blacklist

Проверять:

modprobe usb-storage
if ! lsmod | grep -q usb-storage; then echo Module is blacklisted; fi

Для CD-ROM просто удалите пользователя из группы "cdrom". Тогда пользователь не сможет получить к нему доступ (в управлении пользователями есть расширенная вкладка, где вы можете снять эту опцию).

Мой коллега и я пытались это сделать на Ubuntu 10.04 64 bit Desktop.

У нас был один пользователь-администратор и один пользователь рабочего стола. Мы попытались удалить пользователя рабочего стола из cdrom и plugdev в /etc/group, но это не сработало.

Затем мы сделали admin собственным / media. Затем мы chmodded / media, чтобы понравиться:

chmod 700 / media

Это похоже на работу. Кроме того, меня не беспокоит ручное монтирование настольного компьютера, потому что у него нет привилегий.

Имеет ли это смысл? Ребята, вы видите какие-нибудь слабости?

Раньше в *nix системах вы делали это, изменяя права на чтение и запись на узлах устройств. Я подозреваю, что вам нужно искать что-то более активное в Ubuntu - возможно, группы пользователей, которые предоставляют доступ к классам устройств, отключение аппаратных сервисов, таких как hal, или, возможно, изменение системы автоматического монтирования, чтобы все монтировалось только для привилегированных пользователей. USB будет сложнее, чем CDROM, потому что я предполагаю, что вы не хотите блокировать всю шину. Вы хотите, чтобы USB-мыши работали, а флэш-диски были заблокированы, верно?