Root terminalean, SELinuxen pean ukatuta: zergatik huts egiten duen hook-ak

up script-a root gisa exekutatzen duzu, amaitzen da, eta script berak huts egiten du zerbitzuak deitzen duenean. Fitxategiaren baimenetan ezer ez da aldatu, beraz hurrengo urrats naturala berriro lasaitzea da, eta horrek ez du ezer konpontzen. SELinux duen ostalari batean faktore erabakigarria sarritan ez da prozesua nor den, baizik eta zein domeinutan exekutatzen den, eta domeinu murriztu baten barruko root oraindik murriztua dago.

Komando bera, bi segurtasun-domeinu desberdin

Tipo-betearazpenak jatorrizko domeinua, helburuko etiketa eta eskatutako eragiketa batera ebaluatzen ditu. Zure terminal-saioa domeinu murrizketarik gabeko edo administratibo batean exekutatzen da, eta daemon-a bere unitateari esleitutako domeinuan exekutatzen da. Beraz, komando berberek erabaki desberdinak ematen dituzte, eta aldea nahita egindakoa da, ez politikako akats bat.

Horregatik, bi exekuzioak konparatzea baliagarria da haien testuinguruak konparatzen badituzu bakarrik. Exekutatu komando bera shell-etik eta hook-etik; shell-eko bertsioak frogatzen du binarioa badagoela eta argumentuak zuzenak direla, baina ez du ezer frogatzen zerbitzuak hura exekutatzeko baimena duen ala ez. Exekutatu bi moduetara eta konparatu domeinuak, ez soilik irteera-kodeak. Konparazio horrek bihurtzen du baimenen inguruko kexa lausoa domeinu bati eta etiketa bati buruzko galdera zehatz.

Hutsegite honen forma klasikoa kanpoko tresna bat deitzen duen laguntzaile bat da. Hook-a bera baimenduta egon daiteke, baina deitzen duen tresnak zerbitzu-domeinuak exekutatu ezin duen etiketa darama, edo etiketak debekatzen duen direktorio batean idazten du.

Irakurri AVC erregistroa hook-aren errorearen ondoan

AVC ukapenak kasua erabakitzen duten eremuak izendatzen ditu: prozesuaren jatorrizko testuingurua, objektuaren helburuko testuingurua, objektu-klasea eta ukatu zen baimen zehatza. Irakurri laurak teoria bat osatu aurretik, exekuzioaren ukapenak eta idazketaren ukapenak konponketa erabat desberdinak dituztelako.

ausearch -m AVC,USER_AVC -ts recent
ls -Z /usr/local/sbin/vpn-up.sh
ps -eZ | grep openvpn

Jatorrizko testuinguruak zerbitzua benetan exekutatzen den domeinuarekin bat egin beharko luke, eta helburuko testuinguruak eragiketak ukitu zuen fitxategiaren edo direktorioaren etiketarekin. Bi horietako bat jazarri ari zaren errorearekin bat ez badator, beste gertaera bat irakurtzen ari zara.

Erregistroaren ondoan ohar itzazu politikaren bertsioa eta exekutagarriaren bide zehatza. Distribuzio baten politikan agertzen den domeinu-izen bat instalazio horren inguruko ebidentzia da, ez beste eraikuntza batek arau berak bidaltzen dituen bermea. Testuinguru horrek uzten dio beste norbaiti zure ondorioa bere ostalarian errepikatzen. Hori gabe, erregistroa anekdota gisa irakurtzen da, ez ebidentzia gisa.

Etiketa, konfigurazioa edo politika: hiru konponketa

Lehen konponketa fitxategiaren instalatutako kokapenarekin bat ez datorren etiketa da. cp-rekin lekura kopiatutako edo editore batekin idatzitako script batek zerbitzu-domeinuak erabili ezin duen etiketa lehenetsia eraman dezake, eta espero den testuingurua berreskuratzeak politika ukitu gabe konpontzen du.

Bigarrena konfigurazioa da. Distribuzioak eragiketa exekutatzeko modu onartua, laguntzailearentzako direktorio dokumentatua edo jada baimena ematen duen politika-pakete eguneratua eskain dezake. Zure diseinua onartura aldatzea politikak idaztea baino merkeagoa da eta eguneratzeak gainditzen ditu.

Hirugarrena benetan falta den arau bat da, eta azken baliabidea izan beharko luke. Sortu hautagai bat auditoriako tresnekin, irakurri zer baimentzen duen, mugatu behatu zenituen eragiketara eta domeinura, eta beste norbaitek berrikus dezan produkziora hurbildu aurretik.

Zergatik ez den allow modulu zahar bat erantzuna

Hutsegite honen bilaketa-emaitzak aurrez egindako moduluz beteta daude, askotan hook-ak jada deitzen ez duen tresna baterako. Bat instalatzeak zure ukapenarekin zerikusirik ez duten baimenak ematen ditu, eta benetako deslerrokatzea bere lekuan uzten du, aldi berean zulo iraunkorra eransten duelarik.

Hurrengo hutsegitea ere ezkutatzen du. Eragiketa-klase zabal bat baimentzen duen modulu batek errore hau desagertaraziko du eta hurrengoa askoz zailagoa den zerbait bihurtuko du. Modulua geroago kentzea ere inork antolatu nahi ez duen aldaketa da, beraz bide laburra iraunkor bihurtu ohi da.

Konparazio diziplinatua irakur dezakezun ukapenaren eta proposatzen duzun aldaketaren artean dago. Red Hat-en SELinux arazoak konpontzeko gida etiketatze- eta konfigurazio-egiaztapenak sortutako politikaren aurretik jartzen ditu arrazoi horrexengatik. Erregistroan dagokion ukapenik ez badago, SELinux seguru asko ez da zure arazoa, eta bide, sandbox edo baimen arazoak oraindik zabalik daude.