Pam mae nosuid yn rhwystro helpwr VPN rhag dod yn root

Mae amgryptio disg a mownt nosuid yn swnio fel amrywiadau ar yr un syniad, ac nid ydynt yn gysylltiedig o gwbl. Mae un yn gwarchod data yn ei orffwysfa, a’r llall yn penderfynu a fydd y cnewyllyn yn parchu darn braint ar yr eiliad y mae rhaglen yn cychwyn. Mae helpwr na all gyrraedd yr hunaniaeth y mae’n ei disgwyl yn cwyno am yr ail. Mae’r dybiaeth mai’r cyntaf sy’n gyfrifol yn anfon pobl i ailosod cleientiaid nad oedd erioed wedi torri.

Dwy Briodwedd Ddigyswllt

Mae amgryptio disg yn ateb pwy all ddarllen y blociau pan fydd y peiriant i ffwrdd. Mae opsiwn mownt yn ateb beth fydd y cnewyllyn yn ei wneud â darnau modd ffeil pan fydd rhywun yn ei gweithredu. Nid oes unrhyw beth yn y cyntaf yn cyfyngu’r ail, a gall gliniadur sydd wedi’i amgryptio’n llawn fowntio system ffeiliau gyda phob cyfyngiad yn ei le.

Darllen y ddau fel un briodwedd sy’n cynhyrchu’r ddamcaniaeth bod cartref wedi’i amgryptio yn atal mynediad root. Mae’r ddamcaniaeth honno’n goroesi oherwydd bod y ddau symptom yn ymddangos ar yr un peiriant, nid oherwydd eu bod yn rhannu achos.

Beth Sy’n Atal y Trawsnewid mewn Gwirionedd

Mae cyfeirlyfr execve yn disgrifio sut mae gweithredadwy set-user-ID yn newid hunaniaeth effeithiol y broses newydd i un perchennog y ffeil. Mae’r un dudalen yn rhestru’r amodau sy’n atal y trawsnewid hwnnw a’r hyn sy’n gyfwerth ar gyfer dynodwyr grŵp: gosodiad no_new_privs, system ffeiliau wedi’i mowntio â nosuid, a phroses sy’n cael ei holrhain. Anwybyddir galluoedd ffeil o dan yr un amodau. Mae’r pedwar rheol hynny’n cwmpasu bron pob adroddiad o’r math hwn.

Mae’r rhestr honno’n esbonio pam nad yw’r modd a argraffir gan ls byth yn stori awdurdodi gyflawn. Nid yw’n dweud wrthych pa amod achosodd un neges methiant benodol, ac efallai bod y rhaglen yn adrodd gweithrediaeth gyfrifoldeb heb unrhyw gysylltiad â’r un geiriad. Cadwch y rhaglen, y lansiwr a’r dilyniant gwallau’n union cyn dod i gasgliad.

Nodwch y gweithredadwy a osodwyd gan y pecyn a gefnogir, ei berchennog, ei wir lwybr a pholisi’r system ffeiliau sy’n ei gynnwys. Nid copi mewn ffolder lawrlwytho yw’r helpwr sydd wedi’i osod, beth bynnag mae ei fodd yn ei ddweud.

Beth i Beidio â’i Wneud Yn Ei Gylch

Gosod darnau set-user-ID ar ffeil ddeuaidd heb ei gwirio a’i symud o gwmpas nes bod y cyfyngiad yn diflannu nid yw’n atgyweiriad. Mae’n disodli polisi nad oeddech yn ei ddeall â braint na allwch ei harchwilio, ac mae’r un dechneg wedi’i chymhwyso i helpwr yn llwybr esgyniad hysbys. Mae dileu nosuid o fownt yn waeth, oherwydd mae’n effeithio ar bob rhaglen ar y system ffeiliau honno, nid ar un yn unig.

Y llwybr a gefnogir yw gosodiad dogfennedig y cleient o’r helpwr neu’r gwasanaeth, a gyflawnir gan weinyddwr, sy’n gosod y ffeil ddeuaidd lle mae’r polisi’n ei disgwyl. Mae hynny’n cadw un mecanwaith braint yn lle dau.

Cadarnhau’r Gwir Gyd-destun Lansio

Ar ôl cywiriad awdurdodedig, rhedeg yr helpwr fel y mae’r cynnyrch yn ei redeg yn hytrach nag o gragen root. Nid yw llwyddiant fel root yn profi dim am y llwybr y mae defnyddiwr arferol yn ei gymryd, a’r gwahaniaeth rhwng y ddau gyd-destun hynny yw’n union beth oedd y methiant yn ei gylch.

Yna cadarnhewch y gweithrediad rhwydwaith y mae’r helpwr yn bodoli ar ei gyfer. Mae helpwr sy’n cychwyn ond na all ffurfweddu’r rhyngwyneb wedi symud y broblem un cam yn hwyrach, nid wedi’i datrys.

findmnt -no TARGET,OPTIONS /home
getcap /usr/libexec/openvpn-helper 2>/dev/null; ls -l /usr/libexec/openvpn-helper

Cofnodwch yr opsiynau mownt a pherchenogaeth yr helpwr yn yr un nodyn. Fel arall bydd y person nesaf i ddadfygio hyn yn ailadrodd y ddamcaniaeth amgryptio o’r dechrau.