Por qué nosuid impide que un asistente de VPN llegue a root

El cifrado de disco y un montaje nosuid suenan a variaciones de la misma idea, y no tienen ninguna relación. Uno protege los datos en reposo y el otro decide si el núcleo respetará un bit de privilegio en el momento en que arranca un programa. Un asistente que no alcanza la identidad que espera se está quejando del segundo. La suposición de que el primero es el responsable lleva a la gente a reinstalar clientes que nunca estuvieron averiados.

Dos Propiedades Sin Relación

El cifrado de disco responde quién puede leer los bloques cuando la máquina está apagada. Una opción de montaje responde qué hará el núcleo con los bits de modo de un archivo cuando alguien lo ejecuta. Nada de lo primero limita lo segundo, y un portátil totalmente cifrado puede montar un sistema de archivos con todas las restricciones en su sitio.

Leerlos como una sola propiedad es lo que produce la teoría de que un directorio personal cifrado impide el acceso de root. Esa teoría sobrevive porque los dos síntomas aparecen en la misma máquina, no porque compartan una causa.

Qué Suprime Realmente la Transición

La referencia de execve describe cómo un ejecutable con set-user-ID cambia la identidad efectiva del proceso nuevo por la del propietario del archivo. La misma página enumera las condiciones que suprimen esa transición y la equivalente para los identificadores de grupo: un ajuste no_new_privs, un sistema de archivos montado con nosuid y un proceso que se está trazando. Las capacidades del archivo se ignoran en las mismas condiciones. Esas cuatro reglas cubren casi todos los informes de este tipo.

Esa lista explica por qué el modo que imprime ls nunca es toda la historia de la autorización. No le dice qué condición causó un mensaje de fallo concreto, y la aplicación puede estar informando de una operación de credenciales no relacionada con las mismas palabras. Anote el programa exacto, el lanzador y la secuencia de errores antes de sacar una conclusión.

Identifique el ejecutable que instaló el paquete compatible, su propietario, su ruta real y la política del sistema de archivos que lo contiene. Una copia en una carpeta de descargas no es el asistente instalado, diga lo que diga su modo.

Qué No Hacer al Respecto

Poner bits set-user-ID en un binario sin verificar y moverlo de un sitio a otro hasta que la restricción desaparezca no es una reparación. Sustituye una política que no entendía por un privilegio que no puede auditar, y la misma técnica aplicada a un asistente es una vía de escalada bien conocida. Quitar nosuid de un montaje es peor, porque afecta a todos los programas de ese sistema de archivos, no solo a uno.

La vía admitida es la instalación documentada del asistente o del servicio por parte del cliente, realizada por un administrador, que coloca el binario donde la política lo espera. Así se mantiene un solo mecanismo de privilegio en lugar de dos.

Confirme el Contexto de Inicio Real

Tras una corrección autorizada, ejecute el asistente tal como lo ejecuta el producto y no desde un shell de root. Un éxito como root no demuestra nada sobre el camino que sigue un usuario normal, y la diferencia entre esos dos contextos es exactamente de lo que trataba el fallo.

Después confirme la operación de red para la que existe el asistente. Un asistente que arranca pero no puede configurar la interfaz ha movido el problema una etapa más allá, no lo ha resuelto.

findmnt -no TARGET,OPTIONS /home
getcap /usr/libexec/openvpn-helper 2>/dev/null; ls -l /usr/libexec/openvpn-helper

Anote las opciones de montaje y la propiedad del asistente en la misma nota. De lo contrario, la siguiente persona que depure esto repetirá la teoría del cifrado desde el principio.