Hoekom nosuid 'n VPN-hulphulp verhinder om root te word

Skyfversleuteling en 'n nosuid-aansluiting klink soos variasies op dieselfde idee, en hulle hou heeltemal nie verband nie. Die een beskerm data in rus, en die ander besluit of die kern 'n voorregbit sal eerbiedig op die oomblik wanneer 'n program begin. 'n Hulphulp wat nie die identiteit bereik wat hy verwag nie, kla oor die tweede. Die aanname dat die eerste verantwoordelik is, laat mense kliënte herinstalleer wat nooit foutief was nie.

Twee Onverwante Eienskappe

Skyfversleuteling antwoord wie die blokke kan lees wanneer die masjien af is. 'n Aansluitopsie antwoord wat die kern met 'n lêer se modusbisse sal doen wanneer iemand dit uitvoer. Niks aan die eerste beperk die tweede nie, en 'n volledig versleutelde skootrekenaar kan 'n lêerstelsel aansluit met elke beperking in plek.

Om hulle as een eienskap te lees, is wat die teorie voortbring dat 'n versleutelde tuisgids root-toegang verhoed. Daardie teorie oorleef omdat die twee simptome op dieselfde masjien verskyn, nie omdat hulle 'n oorsaak deel nie.

Wat Die Oorgang Werklik Onderdruk

Die execve-verwysing beskryf hoe 'n set-user-ID-uitvoerbare lêer die effektiewe identiteit van die nuwe proses na die lêer se eienaar verander. Dieselfde bladsy lys die voorwaardes wat daardie oorgang onderdruk en die ekwivalent daarvan vir groepsidentiteite: 'n no_new_privs-instelling, 'n lêerstelsel wat met nosuid aangesluit is, en 'n proses wat nagespoor word. Lêervermoëns word onder dieselfde voorwaardes geïgnoreer. Daardie vier reëls dek byna elke verslag van hierdie aard.

Daardie lys verduidelik waarom die modus wat ls druk nooit die hele magtigingsverhaal is nie. Dit sê nie vir jou watter voorwaarde een bepaalde foutboodskap veroorsaak het nie, en die toepassing rapporteer moontlik 'n onverwante geloofwaardigheidsbewerking met dieselfde bewoording. Hou die presiese program, bekendsteller en foutreeks by voordat jy 'n gevolgtrekking maak.

Identifiseer die uitvoerbare lêer wat die ondersteunde pakket geïnstalleer het, sy eienaar, sy werklike pad en die beleid van die lêerstelsel wat dit huisves. 'n Kopie in 'n aflaaigids is nie die geïnstalleerde hulphulp nie, wat ook al sy modus sê.

Wat Om Nie Daaraan Te Doen Nie

Om set-user-ID-bisse op 'n ongeverifieerde program te stel en dit rond te skuif totdat die beperking verdwyn, is nie 'n herstelling nie. Dit vervang 'n beleid wat jy nie verstaan het nie met 'n voorreg wat jy nie kan ouditeer nie, en dieselfde tegniek toegepas op 'n hulphulp is 'n bekende eskalasiepad. Om nosuid van 'n aansluiting te verwyder is erger, want dit raak elke program op daardie lêerstelsel, nie net een nie.

Die ondersteunde roete is die kliënt se gedokumenteerde installasie van die hulphulp of diens, uitgevoer deur 'n administrateur, wat die program daar plaas waar die beleid dit verwag. Dit hou een voorregmeganisme in stand in plaas van twee.

Bevestig Die Werklike Bekendstellingskonteks

Nadat 'n gemagtigde regstelling gedoen is, hardloop die hulphulp soos die produk dit hardloop, eerder as vanuit 'n root-dop. 'n Sukses as root bewys niks oor die pad wat 'n gewone gebruiker volg nie, en die verskil tussen daardie twee kontekste is presies waaroor die fout gegaan het.

Bevestig dan die netwerkbewerking waarvoor die hulphulp bestaan. 'n Hulphulp wat begin maar nie die koppelvlak kan opstel nie, het die probleem een stap later geskuif, nie opgelos nie.

findmnt -no TARGET,OPTIONS /home
getcap /usr/libexec/openvpn-helper 2>/dev/null; ls -l /usr/libexec/openvpn-helper

Teken die aansluitopsies en die hulphulp se eienaarskap in dieselfde nota aan. Die volgende persoon wat dit ontfout, sal andersins die versleutelingsteorie van voor af herhaal.