Niyə nosuid VPN köməkçisinin root olmasına mane olur

Disk şifrələməsi və nosuid quraşdırması eyni fikrin variantları kimi səslənir və onların heç bir əlaqəsi yoxdur. Biri istirahətdə olan məlumatları qoruyur, digəri isə proqram başlayan anda nüvənin imtiyaz bitinə hörmət edib-etməyəcəyinə qərar verir. Gözlədiyi kimliyə çata bilməyən köməkçi ikincidən şikayət edir. Birincinin məsuliyyət daşıdığı fərziyyəsi insanları heç vaxt pozulmamış müştəriləri yenidən quraşdırmağa göndərir.

İki Əlaqəsiz Xassə

Disk şifrələməsi maşın sönülü olduqda blokları kimin oxuya biləcəyinə cavab verir. Quraşdırma seçimi isə kimsə faylı icra etdikdə nüvənin faylın rejim bitləri ilə nə edəcəyinə cavab verir. Birincidə heç nə ikincini məhdudlaşdırmır və tam şifrələnmiş noutbuk bütün məhdudiyyətlər yerində olan fayl sistemini quraşdıra bilər.

Onları bir xassə kimi oxumaq şifrələnmiş ev qovluğunun root girişinin qarşısını aldığı nəzəriyyəsini doğurur. Bu nəzəriyyə iki simptomun eyni maşında görünməsi sayəsində yaşayır, ortaq səbəbə malik olduqları üçün deyil.

Keçidi Əslində Nə Basdırır

execve sənədi set-user-ID icra edilə bilən faylın yeni prosesin effektiv kimliyini faylın sahibinə necə dəyişdiyini təsvir edir. Həmin səhifə bu keçidi basdıran şərtləri və qrup identifikatorları üçün ekvivalentini sadalayır: no_new_privs parametri, nosuid ilə quraşdırılmış fayl sistemi və izlənən proses. Fayl imkanları eyni şərtlərdə nəzərə alınmır. Bu dörd qayda bu cür demək olar ki, hər hesabatı əhatə edir.

Bu siyahı ls-in çap etdiyi rejimin heç vaxt bütün icazə hekayəsi olmadığını izah edir. O, sizə hansı şərtin konkret uğursuzluq mesajına səbəb olduğunu demir və tətbiq eyni ifadə ilə əlaqəsiz bir etimad əməliyyatı barədə məlumat verə bilər. Nəticə çıxarmazdan əvvəl dəqiq proqramı, başladıcını və xəta ardıcıllığını saxlayın.

Dəstəklənən paketin quraşdırdığı icra edilə bilən faylı, onun sahibini, real yolunu və onu saxlayan fayl sisteminin siyasətini müəyyən edin. Yükləmələr qovluğunda duran kopya, rejimi nə deyirsə desin, quraşdırılmış köməkçi deyil.

Bu Barədə Nə Etməmək Lazımdır

Yoxlanılmamış binar faylda set-user-ID bitlərini qurmaq və məhdudiyyət yox olana qədər onu yerindən-yerinə köçürmək təmir deyil. Bu, başa düşmədiyiniz siyasəti audit edə bilmədiyiniz imtiyazla əvəz edir və köməkçiyə tətbiq olunan həmin texnika tanınmış yüksəltmə yoludur. Quraşdırmadan nosuid-i silmək daha pisdir, çünki bu, yalnız bir proqrama deyil, həmin fayl sistemindəki hər proqrama təsir edir.

Dəstəklənən yol, administratorun yerinə yetirdiyi, müştərinin sənədləşdirilmiş köməkçi və ya xidmət quraşdırmasıdır və binar faylı siyasətin gözlədiyi yerə qoyur. Bu, iki əvəzinə bir imtiyaz mexanizmi saxlayır.

Həqiqi İşə Salma Kontekstini Təsdiqləyin

İcazəli düzəlişdən sonra köməkçini root shell-dən deyil, məhsulun işə saldığı kimi işə salın. Root kimi uğur adi istifadəçinin keçdiyi yol barədə heç nə sübut etmir və bu iki kontekst arasındakı fərq məhz uğursuzluğun mövzusudur.

Sonra köməkçinin mövcud olma səbəbi olan şəbəkə əməliyyatını təsdiqləyin. Başlayan, lakin interfeysi konfiqurasiya edə bilməyən köməkçi problemi bir mərhələ sonraya keçirmişdir, həll etməmişdir.

findmnt -no TARGET,OPTIONS /home
getcap /usr/libexec/openvpn-helper 2>/dev/null; ls -l /usr/libexec/openvpn-helper

Quraşdırma seçimlərini və köməkçinin sahibliyini eyni qeyddə yazın. Əks halda bunu ayıklayacaq növbəti şəxs şifrələmə nəzəriyyəsini əvvəldən təkrarlayacaq.