Por que nosuid impide que un asistente de VPN chegue a root

O cifrado do disco e unha montaxe nosuid soan a variantes da mesma idea, e non teñen ningunha relación. Un protexe os datos en repouso e o outro decide se o núcleo respectará un bit de privilexio no momento en que arrinca un programa. Un asistente que non alcanza a identidade que espera estase queixando do segundo. A suposición de que o primeiro é o responsable leva a xente a reinstalar clientes que nunca estiveran avariados.

Dúas Propiedades Sen Relación

O cifrado do disco responde quen pode ler os bloques cando a máquina está apagada. Unha opción de montaxe responde que fará o núcleo cos bits de modo dun ficheiro cando alguén o executa. Nada do primeiro limita o segundo, e un portátil totalmente cifrado pode montar un sistema de ficheiros con todas as restricións no seu sitio.

Lelos como unha soa propiedade é o que produce a teoría de que un directorio persoal cifrado impide o acceso de root. Esa teoría sobrevive porque os dous síntomas aparecen na mesma máquina, non porque compartan unha causa.

Que Suprime Realmente a Transición

A referencia de execve describe como un executable con set-user-ID cambia a identidade efectiva do proceso novo pola do propietario do ficheiro. A mesma páxina enumera as condicións que suprimen esa transición e a equivalente para os identificadores de grupo: un axuste no_new_privs, un sistema de ficheiros montado con nosuid e un proceso que se está a rastrexar. As capacidades do ficheiro ignóranse nas mesmas condicións. Esas catro regras cobren case todos os informes deste tipo.

Esa lista explica por que o modo que imprime ls nunca é toda a historia da autorización. Non lle di que condición causou unha mensaxe de fallo concreta, e a aplicación pode estar informando dunha operación de credenciais non relacionada coas mesmas palabras. Anote o programa exacto, o lanzador e a secuencia de erros antes de sacar unha conclusión.

Identifique o executable que instalou o paquete compatible, o seu propietario, a súa ruta real e a política do sistema de ficheiros que o contén. Unha copia nun cartafol de descargas non é o asistente instalado, diga o que diga o seu modo.

Que Non Facer ao Respecto

Pór bits set-user-ID nun binario sen verificar e movelo dun sitio a outro ata que a restrición desapareza non é unha reparación. Substitúe unha política que non entendía por un privilexio que non pode auditar, e a mesma técnica aplicada a un asistente é unha vía de escalada ben coñecida. Quitar nosuid dunha montaxe é peor, porque afecta todos os programas dese sistema de ficheiros, non só un.

A vía admitida é a instalación documentada do asistente ou do servizo por parte do cliente, realizada por un administrador, que coloca o binario onde a política o espera. Así mantense un só mecanismo de privilexio en lugar de dous.

Confirme o Contexto de Inicio Real

Tras unha corrección autorizada, execute o asistente tal como o executa o produto e non desde unha shell de root. Un éxito como root non demostra nada sobre o camiño que segue un usuario normal, e a diferenza entre eses dous contextos é exactamente aquilo do que trataba o fallo.

Despois confirme a operación de rede para a que existe o asistente. Un asistente que arrinca pero non pode configurar a interface moveu o problema unha etapa máis alá, non o resolveu.

findmnt -no TARGET,OPTIONS /home
getcap /usr/libexec/openvpn-helper 2>/dev/null; ls -l /usr/libexec/openvpn-helper

Anote as opcións de montaxe e a propiedade do asistente na mesma nota. Se non, a seguinte persoa que depure isto repetirá a teoría do cifrado desde o principio.