Firwat nosuid en VPN-Helfer drun hënnert, root ze ginn

Diskverschlësselung an e nosuid-Mount kléngen wéi Variante vun der selwechter Iddi, a si hunn iwwerhaapt näischt mateneen ze dinn. Dat eent schützt Donnéeën am Rou, an dat anert entscheet, ob de Kernel e Privilegiebit deem Ament respektéiert, wou e Programm start. En Helfer, deen d’Identitéit net erreecht, déi en erwaart, beschwéiert sech iwwer dat zweet. D’Uname, datt dat éischt verantwortlech ass, schéckt d’Leit Klienten nei ze installéieren, déi ni futti waren.

Zwee Onverbonne Eegenschaften

Diskverschlësselung äntwert, wien d’Bléck liese kann, wann d’Maschinn aus ass. Eng Mountoptioun äntwert, wat de Kernel mat de Modusbits vun enger Datei mécht, wann een se ausféiert. Näischt um éischten aschränkt dat zweet, an e komplett verschlësselte Laptop ka e Dateisystem mounte mat alle Restriktiounen op hirem Platz.

Se als eng eenzeg Eegenschaft liesen ass dat, wat d’Theorie produzéiert, datt en verschlësselt Heemverzeechnis de Root-Zougang verhënnert. Déi Theorie iwwerlieft, well déi zwou Symptomer op der selwechter Maschinn optrieden, net well se eng gemeinsam Ursaach hunn.

Wat den Iwwergang tatsächlech ënnerdréckt

D’execve-Referenz beschreift, wéi eng ausféierbar Datei mat set-user-ID déi effektiv Identitéit vum neie Prozess op de Besëtzer vun der Datei ännert. Déi selwecht Säit zielt d’Konditiounen op, déi deen Iwwergang ënnerdrécken, an dat Gläichwäerteg fir Grupp-Identifikatoren: eng no_new_privs-Astellong, en Dateisystem deen mat nosuid gemount ass, an e Prozess deen iwwerwaacht gëtt. Dateifäegkeeten ginn ënner deene selwechte Konditiounen ignoréiert. Déi véier Regele decken bal all Bericht vun dëser Zort of.

Déi Lëscht erkläert, firwat de Modus, deen ls dréckt, ni déi ganz Autorisatiounsgeschicht ass. Se seet Iech net, wéi eng Konditioun eng bestëmmte Fehlermeldung verursaacht huet, an d’Applikatioun mellt vläicht eng onverbonne Umeldungsoperatioun mat deene selwechte Wierder. Notéiert de geneeë Programm, de Startmechanismus an d’Fehlerreeg, ier Dir eng Schlussfolgerung zitt.

Identifizéiert déi ausféierbar Datei, déi dee ënnerstëtzte Pak installéiert huet, hire Besëtzer, hire richtege Pad an d’Politik vum Dateisystem, deen se ënnerbréngt. Eng Kopie an engem Erofluedossier ass net den installéierten Helfer, wat hire Modus och seet.

Wat een net sollt maachen

Set-user-ID-Bits op eng ongeproufte Binärdatei setzen an se hin an hier réckelen, bis d’Restriktioun verschwënnt, ass keng Reparatur. Et ersetzt eng Politik, déi Dir net verstanen hutt, duerch e Privileg, dat Dir net kënnt auditoren, an déiselwecht Technik op en Helfer ugewannt ass e bekannten Eskalatiounswee. nosuid vun engem Mount ewechhuelen ass méi schlëmm, well et all Programm op deem Dateisystem betrëfft, net just ee.

Den ënnerstëtzte Wee ass déi dokumentéiert Installatioun vum Helfer oder Service duerch de Client, déi en Administrateur ausféiert an d’Binärdatei dohinner setzt, wou d’Politik se erwaart. Sou bleift ee Privilegiemechanismus amplaz vun zwee.

Bestätegt de richtegen Startkontext

No enger autoriséierter Korrektur start den Helfer sou wéi d’Produkt en start, an net aus enger Root-Shell. Erfolleg als root beweise näischt iwwer de Pad, deen en normale Benotzer hëlt, an den Ënnerscheed tëscht dësen zwee Kontexter ass genee dat, wourop de Fehler sech bezunn huet.

Bestätegt duerno d’Netzwierkoperatioun, fir déi den Helfer existéiert. En Helfer, dee start, awer d’Schnittstell net konfiguréiere kann, huet de Problem eng Etapp weider geréckelt, net geléist.

findmnt -no TARGET,OPTIONS /home
getcap /usr/libexec/openvpn-helper 2>/dev/null; ls -l /usr/libexec/openvpn-helper

Notéiert d’Mountoptiounen an d’Besëtzerverhältnis vum Helfer an der selwechter Notiz. Soss widderhëlt déi nächst Persoun, déi dat debuggéiert, d’Verschlësselungstheorie vun Ufank un.