Miks nosuid takistab VPN-i abilist root-kasutajaks saamast

Ketta krüpteerimine ja nosuid-mont kõlavad sama idee variatsioonidena ning neil pole tegelikult mingit seost. Üks kaitseb puhkeolekus olevaid andmeid ja teine otsustab, kas tuum austab õiguste bitti hetkel, mil programm käivitub. Abiline, kes ei jõua oodatud identiteedini, kurdab teise üle. Eeldus, et süüdi on esimene, saadab inimesi uuesti paigaldama kliente, mis polnud kunagi katki.

Kaks Sõltumatut Omadust

Ketta krüpteerimine vastab sellele, kes saab plokke lugeda, kui masin on välja lülitatud. Montimisvalik vastab sellele, mida tuum teeb faili režiimibittidega, kui keegi selle käivitab. Miski esimeses ei piira teist ja täielikult krüpteeritud sülearvuti saab montida failisüsteemi, kus kõik piirangud on paigas.

Nende lugemine ühe omadusena tekitab teooria, et krüpteeritud kodukataloog takistab root-juurdepääsu. See teooria püsib, sest kaks sümptomit ilmnevad samal masinal, mitte sellepärast, et neil oleks ühine põhjus.

Mis Ülemineku Tegelikult Maha Surub

execve viide kirjeldab, kuidas set-user-ID-ga käivitatav fail muudab uue protsessi tegeliku identiteedi faili omaniku omaks. Samal lehel on loetletud tingimused, mis selle ülemineku maha suruvad, ja nende vaste rühmaidentifikaatorite jaoks: no_new_privs seade, nosuid-ga monteeritud failisüsteem ja jälgitav protsess. Failivõimeid eiratakse samadel tingimustel. Need neli reeglit katavad peaaegu iga sellist raportit.

See loend selgitab, miks ls-i trükitud režiim pole kunagi kogu volituste lugu. See ei ütle, milline tingimus ühe konkreetse veateate põhjustas, ja rakendus võib samade sõnadega teatada hoopis mitteseotud mandaadi toimingust. Pange täpne programm, käivitaja ja vigade jada kirja enne järelduse tegemist.

Tuvastage toetatud paketi paigaldatud käivitatav fail, selle omanik, tegelik tee ja seda sisaldava failisüsteemi poliitika. Allalaadimiste kaustas olev koopia ei ole paigaldatud abiline, ükskõik mida selle režiim ütleb.

Mida Sellega Mitte Teha

Kontrollimata binaarfailile set-user-ID bittide seadmine ja selle ringi liigutamine, kuni piirang kaob, ei ole parandus. See asendab poliitika, millest te aru ei saanud, õigusega, mida te ei saa auditeerida, ja sama tehnika abilisele rakendatuna on tuntud eskaleerimistee. nosuid-i eemaldamine montilt on hullem, sest see mõjutab iga programmi sellel failisüsteemil, mitte ainult ühte.

Toetatud tee on kliendi dokumenteeritud abilise või teenuse paigaldus, mille teeb administraator ja mis asetab binaarfaili sinna, kuhu poliitika seda ootab. Nii jääb üks õigustemehhanism kahe asemel.

Kinnitage Tegelik Käivituskontekst

Pärast lubatud parandust käivitage abiline nii, nagu toode seda käivitab, mitte root-shellist. Edu root-ina ei tõesta midagi selle kohta, millist teed tavakasutaja läbib, ja nende kahe konteksti erinevus ongi täpselt see, millest tõrge rääkis.

Seejärel kinnitage võrguoperatsioon, mille jaoks abiline olemas on. Abiline, mis käivitub, kuid ei suuda liidest seadistada, on lükanud probleemi ühe etapi võrra edasi, mitte seda lahendanud.

findmnt -no TARGET,OPTIONS /home
getcap /usr/libexec/openvpn-helper 2>/dev/null; ls -l /usr/libexec/openvpn-helper

Kirjutage montimisvalikud ja abilise omandisuhe samasse märkmesse. Vastasel juhul kordab järgmine inimene, kes seda silub, krüpteerimisteooriat algusest peale.