<div dir="ltr">Hi, <div><br><div class="gmail_quote"><div dir="ltr">On Fri, Apr 21, 2017 at 7:10 PM Andreas Metzler <<a href="mailto:ametzler@bebt.de">ametzler@bebt.de</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">> In my setup I have opencryptoki installed (because it's a dependency of<br>
> tpm-tools, not because I actually need opencryptoki).  This means that the<br>
> /etc/pkcs11 directory looks like this:<br>
<br>
> $ ls -ld /etc/pkcs11 /etc/pkcs11/<br>
> lrwxrwxrwx 1 root root     21 Jan  3 14:14 /etc/pkcs11 -><br>
> /var/lib/opencryptoki<br>
> drwxrwx--- 8 root pkcs11 4096 Apr 21 10:33 /etc/pkcs11/<br>
[...]<br></blockquote><div> </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">Isn't this where the actual breakage is located? Afaik /etc should<br>
contain configuration files, not symlinks to unreadable empty<br>
directories. O are there special mitigating circumstances?<br></blockquote><div><br></div><div>This is how the opencryptoki package is shipped:</div><div><a href="http://sources.debian.net/src/opencryptoki/2.3.1%2Bdfsg-3/usr/lib/pkcs11/api/Makefile.am/?hl=47#L47">http://sources.debian.net/src/opencryptoki/2.3.1%2Bdfsg-3/usr/lib/pkcs11/api/Makefile.am/?hl=47#L47</a><br></div><div><br></div><div>To be honest, I'm not sure if this is breaking policy or not.</div><div><a href="https://www.debian.org/doc/debian-policy/ch-files.html#s-config-files">https://www.debian.org/doc/debian-policy/ch-files.html#s-config-files</a> seems to say that symlinking is not ideal but possible.  Doesn't talk about the permissions. It *is* possible to have files in /etc/ that are not world readable</div><div><br></div><div>Regardless of this, I see no reason why p11-kit should be ok with the file not existing but not ok with it not being readable by the current process.</div><div><br></div></div></div></div><div dir="ltr">-- <br></div><div data-smartmail="gmail_signature"><div dir="ltr">Cheers,<div>Marga</div></div></div>