Kāpēc nosuid neļauj VPN palīgam kļūt par root

Diska šifrēšana un nosuid montējums izklausās kā vienas idejas varianti, un tiem nav nekāda sakara. Viens aizsargā miera stāvoklī esošos datus, bet otrs izšķir, vai kodols respektēs privilēģiju bitu tajā brīdī, kad programma startē. Palīgs, kas neaizsniedz gaidīto identitāti, sūdzas par otro. Pieņēmums, ka vainīgs ir pirmais, sūta cilvēkus pārinstalēt klientus, kas nekad nav bijuši salauzti.

Divas Nesaistītas Īpašības

Diska šifrēšana atbild, kas var lasīt blokus, kad mašīna ir izslēgta. Montējuma opcija atbild, ko kodols darīs ar faila režīma bitiem, kad kāds to izpilda. Nekas pirmajā neierobežo otro, un pilnībā šifrēts portatīvais dators var montēt failu sistēmu ar visiem ierobežojumiem vietā.

To lasīšana kā vienas īpašības rada teoriju, ka šifrēta mājas mape neļauj root piekļuvi. Šī teorija pastāv tāpēc, ka abi simptomi parādās tajā pašā mašīnā, nevis tāpēc, ka tiem būtu kopīgs cēlonis.

Kas Patiesībā Nomāc Pāreju

execve uzziņa apraksta, kā izpildāmais fails ar set-user-ID maina jaunā procesa efektīvo identitāti uz faila īpašnieka identitāti. Tajā pašā lapā ir uzskaitīti nosacījumi, kas nomāc šo pāreju, un to ekvivalents grupu identifikatoriem: no_new_privs iestatījums, ar nosuid montēta failu sistēma un process, kas tiek izsekots. Faila spējas tiek ignorētas tajos pašos nosacījumos. Šie četri noteikumi aptver gandrīz visus šāda veida ziņojumus.

Šis saraksts izskaidro, kāpēc ls izdrukātais režīms nekad nav viss autorizācijas stāsts. Tas nepasaka, kurš nosacījums izraisīja konkrētu kļūdas ziņojumu, un lietotne var ziņot par nesaistītu akreditācijas datu darbību ar tiem pašiem vārdiem. Pierakstiet precīzu programmu, palaidēju un kļūdu secību, pirms izdarāt secinājumu.

Nosakiet izpildāmo failu, ko instalējusi atbalstītā pakotne, tā īpašnieku, tā reālo ceļu un failu sistēmas, kurā tas atrodas, politiku. Kopija lejupielāžu mapē nav instalētais palīgs, lai ko teiktu tā režīms.

Ko Nedrīkst Darīt

Likšana set-user-ID bitus nepārbaudītam bināram failam un tā pārvietošana, līdz ierobežojums pazūd, nav labojums. Tas aizstāj politiku, kuru nesapratāt, ar privilēģiju, kuru nevarat auditēt, un tā pati tehnika, kas piemērota palīgam, ir labi zināms tiesību paaugstināšanas ceļš. nosuid noņemšana no montējuma ir sliktāka, jo tā ietekmē katru programmu šajā failu sistēmā, ne tikai vienu.

Atbalstītais ceļš ir klienta dokumentētā palīga vai pakalpojuma instalēšana, ko veic administrators un kas novieto bināro failu tur, kur politika to gaida. Tā paliek viens privilēģiju mehānisms divu vietā.

Apstipriniet Reālo Palaišanas Kontekstu

Pēc atļauta labojuma palaidiet palīgu tā, kā to palaiž produkts, nevis no root čaulas. Panākums kā root neko nepierāda par ceļu, ko iet parasts lietotājs, un atšķirība starp šiem diviem kontekstiem ir tieši tas, par ko bija šī kļūda.

Pēc tam apstipriniet tīkla darbību, kuras dēļ palīgs pastāv. Palīgs, kas startē, bet nevar konfigurēt saskarni, ir pārcēlis problēmu par vienu posmu tālāk, nevis to atrisinājis.

findmnt -no TARGET,OPTIONS /home
getcap /usr/libexec/openvpn-helper 2>/dev/null; ls -l /usr/libexec/openvpn-helper

Pierakstiet montējuma opcijas un palīga īpašumtiesības tajā pašā piezīmē. Citādi nākamais cilvēks, kas to atkļūdos, šifrēšanas teoriju sāks no jauna.