Mae eich gorchymyn VPN yn rhedeg heb fraint; nid yw’r gwasanaeth

Mae’r gorchymyn VPN yn rhedeg fel eich defnyddiwr chi, nid yw cyfrinair yn ymddangos, ac mae’r twnnel yn codi. Mae’r dilyniant hwnnw’n teimlo fel gweithred heb fraint, ac fel arfer nid yw. Mae gwasanaeth ar wahân yn gwneud y newidiadau rhwydwaith, a’r cwestiwn diddorol yw beth y bydd y gwasanaeth hwnnw’n ei wneud i alwr nad yw wedi’i wirio. Nid yw cyfrif anogwyr cyfrinair yn dweud dim wrthych am y ffin honno.

Y rhyngwyneb, y mecanwaith a’r gwiriad

Mae’r rhyngwyneb yn derbyn ceisiadau: cysylltu, datgysylltu, dewis proffil. Mae’r mecanwaith yn berchen ar y gweithrediadau rhwydwaith: creu rhyngwynebau, newid llwybrau, cymhwyso hidlwyr. Mae’r gwiriad awdurdodi yn penderfynu a all y galwr hwn ofyn am y weithred hon. Gall y tri hynny gael eu gwasgaru ar draws deuaidd, cynorthwyydd a gwasanaeth system, a dim ond y cyntaf y mae’r defnyddiwr yn ei weld.

Gall y rolau fyw mewn un deuaidd, mewn dau broses, neu mewn cleient a gwasanaeth system, ac anaml y mae’r gorchymyn sy’n wynebu’r defnyddiwr yn datgelu pa un. Gall eicon hambwrdd a daemon system edrych fel un rhaglen wrth redeg ag awdurdod gwahanol iawn. Mae braint ar amser gosod a braint ar amser cais yn bethau gwahanol hefyd. Gall gosodwr a redodd fel root adael gwasanaeth yn gwrando am geisiadau diweddarach, ymhell ar ôl i’r rheolwr pecynnau orffen. Y gwasanaeth hwnnw, nid y gorchymyn a deipiwyd gennych, sy’n dal yr awdurdod.

Dirprwyo yw’r dyluniad arferol

Mae dirprwyo gwaith rhwydwaith breintiedig i wasanaeth yn bensaernïaeth resymol. Mae’n cadw rhaglenni cyffredin heb fraint, ac mae’n canoli’r gweithrediadau sydd angen gofal. Dim ond pan fydd y gwasanaeth hefyd yn gwirio pwy sy’n gofyn a pham y mae’r dyluniad yn talu. Heb y gwiriad hwnnw nid yw ond drws changach.

NetworkManager yw’r enghraifft goncrit ar Linux. Mae ei ganllaw ffurfweddu yn esbonio sut mae PolicyKit yn awdurdodi ceisiadau nad ydynt yn root yn y gosodiad diofyn. Mae hynny’n dangos awdurdodi dirprwyedig mewn cynnyrch go iawn. Nid yw’n profi bod pob cleient masnachol yn defnyddio NetworkManager, ac nid yw’n disgrifio llwybr soced nac unrhyw bolisi gan unrhyw werthwr penodol.

Y patrwm yw dirprwyo gyda pholisi y tu ôl iddo. Mae’r enghraifft yn un gweithrediad o’r patrwm hwnnw, nid un cyffredinol.

Darllenwch y ffin, nid y cais

Dewch o hyd i’r gwasanaeth, perchennog ei ffurfweddiad a’r rhyngwyneb lleol y mae’r blaen yn ei ddefnyddio. Yna gofynnwch pa ddefnyddwyr all ofyn am ba weithrediadau. Nid yw gallu codi a gostwng un proffil wedi’i gadw yr un ganiatâd â llwytho ffurfweddiad na adolygodd y gweithredwr erioed. Y gwahaniaeth yw’r cwestiwn diogelwch i gyd.

Dechreuwch gyda’r rheolwr gwasanaeth a golygfa’r cleient ei hun o’i ganiatadau. Mae’r gorchmynion isod yn dangos a yw’r daemon yn rhedeg, beth y caiff y galwr ei ofyn iddo, a beth y mae’r daemon yn ei ddatgelu o dan ei gyfeiriadur rhedeg.

systemctl status NetworkManager
nmcli general permissions
ls -l /run/NetworkManager

Gofynnwch hefyd beth y mae’r weithred yn ei effeithio. Gall eitem fwydlen sy’n edrych yn bersonol newid llwybrau a DNS ar gyfer y peiriant cyfan, sy’n golygu y gall amharu ar sesiynau defnyddwyr eraill. Mae radiws yr effaith yn perthyn i’r un adolygiad â’r caniatâd, ac fel arfer mae’n penderfynu a oes angen rôl gulach ar y gwasanaeth.

Trwsiwch ganiatadau y ffordd a gefnogir

Mae gwneud soced rheoli gwarchodedig yn ysgrifenadwy i bawb, neu ychwanegu cyfrif at grŵp gweinyddol eang, yn tynnu gwall caniatâd ac yn creu un mwy. Y gwall oedd yr unig beth a ddywedodd wrthych fod y ffin honno’n bod. Defnyddiwch y broses aelodaeth neu awdurdodi a ddogfennwyd, gan gynnwys yr adnewyddiad sesiwn y mae’n ei olygu. Mae aelodaeth grŵp yn aml yn berthnasol i sesiynau mewngofnodi newydd yn unig, a dyna pam y gall newid ymddangos fel peidio â gwneud dim tan y mewngofnodi nesaf.

Os yw’r cynnyrch yn datgelu rôl gulach ar gyfer y weithred, dewisiwch hi yn hytrach na grant cyffredinol. Ysgrifennwch y rôl a ddewiswyd a’i pherchennog wrth enw’r gwasanaeth.

Sut mae rhaniad da yn edrych

Mae rhaglenni cyffredin yn aros heb fraint, dim ond y gosodiad y’i dyluniwyd ar ei gyfer y mae’r gwasanaeth yn ei wneud, a gwirir pob galwr yn erbyn polisi y mae rhywun yn berchen arno. Mae hwnnw’n ddyluniad y gellir ei amddiffyn. Mae hefyd yn archwiladwy, oherwydd mae enw ynghlwm wrth y polisi. Mae unrhyw beth mwy yn haeddu eithriad ysgrifenedig yn hytrach na newid caniatâd distaw.

Y dull methu yw gwasanaeth sy’n cyflawni unrhyw gais gan unrhyw ddefnyddiwr lleol oherwydd bod y rhyngwyneb yn gyfleus. Mae’n edrych yn union yr un fath o ochr y defnyddiwr, ac mae’n cario awdurdod llawer mwy. Profwch un cais a wrthodwyd, nid yn unig yr un llwyddiannus. Mae gwrthodiad sy’n dod o’r polisi yn brawf bod y polisi’n bod.