Kial nosuid malhelpas VPN-helpanton iĝi root

Diskĉifrado kaj nosuid-muntado sonas kiel variantoj de la sama ideo, kaj ili tute ne rilatas unu al la alia. Unu protektas datumojn dum ripozo, kaj la alia decidas, ĉu la kerno respektos privilegian biton en la momento, kiam programo ekstartas. Helpanto, kiu ne atingas la atendatan identecon, plendas pri la dua. La supozo, ke la unua respondecas, sendas homojn reinstali klientojn, kiuj neniam estis difektitaj.

Du Nerilataj Ecoj

Diskĉifrado respondas, kiu povas legi la blokojn, kiam la maŝino estas malŝaltita. Muntada opcio respondas, kion la kerno faros kun la reĝimaj bitoj de dosiero, kiam iu plenumas ĝin. Nenio en la unua limigas la duan, kaj plene ĉifrita tekkomputilo povas munti dosiersistemon kun ĉiuj limigoj en loko.

Legi ilin kiel unu econ produktas la teorion, ke ĉifrita hejma dosierujo malebligas root-aliron. Tiu teorio pluvivas ĉar la du simptomoj aperas sur la sama maŝino, ne ĉar ili dividas kaŭzon.

Kio Efektive Subpremas la Transiron

La referenco pri execve priskribas, kiel plenumebla dosiero kun set-user-ID ŝanĝas la efektivan identecon de la nova procezo al tiu de la dosiera posedanto. La sama paĝo listigas la kondiĉojn, kiuj subpremas tiun transiron, kaj la ekvivalenton por grupaj identigiloj: agordo no_new_privs, dosiersistemo muntita kun nosuid, kaj procezo, kiu estas spurata. Dosieraj kapabloj estas ignorataj sub la samaj kondiĉoj. Tiuj kvar reguloj kovras preskaŭ ĉiun raporton de ĉi tiu speco.

Tiu listo klarigas, kial la reĝimo presita de ls neniam estas la tuta aŭtoriga historio. Ĝi ne diras al vi, kiu kondiĉo kaŭzis unu konkretan malsukcesan mesaĝon, kaj la aplikaĵo eble raportas nerilatan akreditan operacion per la samaj vortoj. Notu la precizan programon, lanĉilon kaj eraran sinsekvon antaŭ ol konkludi.

Identigu la plenumeblan dosieron, kiun instalas la subtenata pako, ĝian posedanton, ĝian realan vojon kaj la politikon de la dosiersistemo, kiu enhavas ĝin. Kopio en elŝuta dosierujo ne estas la instalita helpanto, kion ajn diras ĝia reĝimo.

Kion Ne Fari Pri Ĝi

Meti set-user-ID-bitajn flagojn sur nevalidigitan binaran dosieron kaj movi ĝin ĉirkaŭe ĝis la limigo malaperas ne estas riparo. Ĝi anstataŭigas politikon, kiun vi ne komprenis, per privilegio, kiun vi ne povas revizii, kaj la sama tekniko aplikita al helpanto estas konata eskalada vojo. Forigi nosuid de muntado estas pli malbone, ĉar ĝi tuŝas ĉiun programon sur tiu dosiersistemo, ne nur unu.

La subtenata vojo estas la dokumentita instalado de la helpanto aŭ servo fare de la kliento, plenumata de administranto, kiu metas la binaran dosieron tien, kie la politiko atendas ĝin. Tio konservas unu privilegian mekanismon anstataŭ du.

Konfirmu la Realan Lanĉan Kuntekston

Post rajtigita korekto, rulu la helpanton tiel, kiel la produkto rulas ĝin, anstataŭ el root-ŝelo. Sukceso kiel root pruvas nenion pri la vojo, kiun prenas ordinara uzanto, kaj la diferenco inter tiuj du kuntekstoj estas ĝuste tio, pri kio temis la malsukceso.

Poste konfirmu la retan operacion, por kiu la helpanto ekzistas. Helpanto, kiu startas sed ne povas agordi la interfacon, movis la problemon unu stadion pli fore, ne solvis ĝin.

findmnt -no TARGET,OPTIONS /home
getcap /usr/libexec/openvpn-helper 2>/dev/null; ls -l /usr/libexec/openvpn-helper

Notu la muntajn opciojn kaj la posedantaron de la helpanto en la sama noto. Alie la sekva persono, kiu sencimigos ĉi tion, ripetos la ĉifradan teorion de la komenco.