Zergatik eragozten duen nosuid-ek VPN laguntzaile bat root izatea

Diskoaren zifratzea eta nosuid muntaketa ideia beraren aldaerak ematen dute, eta ez dute inolako loturarik. Batek atsedenaldian dauden datuak babesten ditu, eta besteak nukleoak pribilegio-bitari programak abiatzen diren unean eutsiko dion ala ez erabakitzen du. Espero duen identitatera iristen ez den laguntzailea bigarrenaz ari da kexatzen. Lehena dela erantzule suposatzeak inoiz hautsi ez ziren bezeroak berriro instalatzeko bidaltzen ditu pertsonak.

Bi Propietate Loturarik Gabe

Diskoaren zifratzeak erantzuten du nork irakur ditzakeen blokeak makina itzalita dagoenean. Muntaketa-aukerak erantzuten du nukleoak zer egingo duen fitxategi baten modu-bitekin norbaitek exekutatzen duenean. Lehenengoak ez du bigarrena mugatzen, eta guztiz zifratutako ordenagailu eramangarriak muga guztiak dituen fitxategi-sistema munta dezake.

Biak propietate bakarra balira bezala irakurtzeak sortzen du etxe zifratuak root sarbidea eragozten duelako teoria. Teoria horrek irauten du sintoma biak makina berean agertzen direlako, ez kausa bera partekatzen dutelako.

Zerk Kuatzen Duen Benetan Trantsizioa

execve erreferentziak deskribatzen du nola aldatzen duen set-user-ID duen exekutagarri batek prozesu berriaren identitate efektiboa fitxategiaren jabearenera. Orrialde berak zerrendatzen ditu trantsizio hori kuantzen duten baldintzak eta talde-identifikatzaileetarako baliokidea: no_new_privs ezarpena, nosuid-rekin muntatutako fitxategi-sistema bat eta jarraitzen ari den prozesu bat. Fitxategi-gaitasunak baldintza beretan ez dira kontuan hartzen. Lau arau horiek ia mota horretako txosten guztiak estaltzen dituzte.

Zerrenda horrek azaltzen du zergatik ls-ek inprimatutako modua ez den inoiz autorizazioaren istorio osoa. Ez dizu esaten zein baldintzak eragin zuen hutsegite-mezu jakin bat, eta aplikazioak beste eragiketa bat salatu lezake hitz berberekin. Gogoratu programa zehatza, abiarazlea eta erroreen sekuentzia ondorioa atera aurretik.

Identifikatu pakete onartuak instalatutako exekutagarria, haren jabea, egiazko bidea eta hura gordetzen duen fitxategi-sistemaren politika. Deskarga-karpeta batean dagoen kopia ez da instalatutako laguntzailea, bere moduak esan arren.

Zer Ez Egitea

Egiaztatu gabeko bitar batean set-user-ID bitak jartzea eta muga desagertu arte hura alde batetik bestera mugitzea ez da konponketa. Ulertzen ez zuen politika bat ordezkatzen du auditatzen ezin duen pribilegio batekin, eta laguntzaile bati aplikatutako teknika bera ezaguna den eskalada-bidea da. Muntaketa batetik nosuid kentzea okerragoa da, fitxategi-sistema horretako programa guztiei eragiten dielako, ez bati bakarrik.

Bide onartua bezeroak dokumentatutako laguntzailearen edo zerbitzuaren instalazioa da, administratzaile batek egina, eta bitarra politika espero duen tokian jartzen du. Horrela pribilegio-mekanismo bat gordetzen da bi beharrean.

Egiaztatu Benetako Abiarazte-Testuingurua

Baimendutako zuzenketa baten ondoren, abiarazi laguntzailea produktuak abiarazten duen moduan, root shell batetik beharrean. Root gisa lortutako arrakastak ez du ezer frogatzen erabiltzaile arruntak egiten duen bideaz, eta bi testuinguru horien arteko aldea da hutsegitearen benetako gaia.

Ondoren egiaztatu laguntzailea existitzen den sare-eragiketa. Abiarazten baina interfazea konfiguratu ezin duen laguntzaile batek arazoa etapa bat harago eraman du, ez du konpondu.

findmnt -no TARGET,OPTIONS /home
getcap /usr/libexec/openvpn-helper 2>/dev/null; ls -l /usr/libexec/openvpn-helper

Erregistratu muntaketa-aukerak eta laguntzailearen jabetza ohar berean. Bestela, hau araztuko duen hurrengo pertsonak zifratzearen teoria hasieratik errepikatuko du.