Hvers vegna nosuid kemur í veg fyrir að VPN-aðstoð verði root

Dulkóðun disks og nosuid-tenging hljóma eins og afbrigði af sömu hugmynd, og þau tengjast alls ekki. Annað verndar gögn í hvíld, og hitt ákveður hvort kjarninn virðir forréttindabit á þeirri stundu sem forrit byrjar. Aðstoð sem nær ekki þeirri auðkenningu sem hún væntir kvartar yfir hinu síðara. Forsendan um að hið fyrra beri ábyrgð sendir fólk til að setja upp biðlara aftur sem voru aldrei bilaðir.

Tveir Ótengdir Eiginleikar

Dulkóðun disks svarar því hver getur lesið blokkirnar þegar vélin er slökkt. Tengingarvalkostur svarar því hvað kjarninn gerir við stillibita skráar þegar einhver keyrir hana. Ekkert í hinu fyrra takmarkar hið síðara, og algjörlega dulkóðuð fartölva getur tengt skráarkerfi með öllum takmörkunum á sínum stað.

Að lesa þau sem einn eiginleika er það sem skapar kenninguna um að dulkóðuð heimamappa komi í veg fyrir root-aðgang. Sú kenning lifir af vegna þess að einkennin tvö birtast á sömu vél, ekki vegna þess að þau deili orsök.

Hvað Bælir Reyndar Umbyltinguna

Tilvísunin um execve lýsir því hvernig keyranleg skrá með set-user-ID breytir virkri auðkenningu nýju ferilsins í auðkenningu skráareigandans. Sama síða telur upp þau skilyrði sem bæla þessa umbyltingu og hliðstæðuna fyrir hópauðkenni: no_new_privs stilling, skráarkerfi tengt með nosuid og ferill sem er rakinn. Hæfni skráar er hunsuð við sömu skilyrði. Þessar fjórar reglur ná yfir nánast hverja skýrslu af þessari gerð.

Sá listi útskýrir hvers vegna stillingin sem ls prentar er aldrei öll heimildarsagan. Hann segir þér ekki hvaða skilyrði olli einni tiltekinni villuskilaboðum, og forritið gæti verið að tilkynna ótengda auðkenningaraðgerð með sömu orðum. Skráðu nákvæma forritið, ræsirann og villuröðina áður en þú dregur ályktun.

Greindu keyranlegu skrána sem studda pakkinn setti upp, eiganda hennar, raunverulega slóð hennar og stefnu skráarkerfisins sem geymir hana. Afrit í niðurhalsmöppu er ekki uppsetta aðstoðin, hvað sem stillingin segir.

Hvað Ekki Á að Gera

Að setja set-user-ID bita á óstaðfesta tvístæðu og færa hana til þar til takmörkunin hverfur er ekki viðgerð. Það kemur í stað stefnu sem þú skildir ekki með forréttindi sem þú getur ekki endurskoðað, og sama tæknin beitt á aðstoð er þekkt leið til að eskalera. Að fjarlægja nosuid af tengingu er verra, vegna þess að það hefur áhrif á hvert forrit í því skráarkerfi, ekki bara eitt.

Studda leiðin er skjalfest uppsetning biðlarans á aðstoðinni eða þjónustunni, framkvæmd af stjórnanda, sem setur tvístæðuna þangað sem stefnan væntir hennar. Þannig helst einn forréttindakerfisgangur í stað tveggja.

Staðfestu Raunverulegt Ræsingarsamhengi

Eftir heimilaða leiðréttingu skaltu keyra aðstoðina eins og varan keyrir hana, ekki úr root-skel. Árangur sem root sannar ekkert um þá leið sem venjulegur notandi fer, og munurinn á þessum tveimur samhengjum er einmitt það sem bilunin snerist um.

Staðfestu síðan netaðgerðina sem aðstoðin er til fyrir. Aðstoð sem byrjar en getur ekki stillt viðmótið hefur fært vandamálið eitt stig lengra, ekki leyst það.

findmnt -no TARGET,OPTIONS /home
getcap /usr/libexec/openvpn-helper 2>/dev/null; ls -l /usr/libexec/openvpn-helper

Skráðu tengingarvalkostina og eignarhald aðstoðarinnar í sömu minnisblað. Annars mun næsta manneskja sem kembir þetta endurtaka dulkóðunarkenninguna frá byrjun.