Mengapa nosuid Menghalang Pembantu VPN Daripada Menjadi root

Penyulitan cakera dan lekap nosuid kedengaran seperti variasi idea yang sama, dan kedua-duanya langsung tidak berkaitan. Satu melindungi data dalam keadaan rehat, dan satu lagi menentukan sama ada kernel akan menghormati bit keistimewaan pada saat sesuatu program bermula. Pembantu yang tidak mencapai identiti yang dijangka sedang mengeluh tentang yang kedua. Andaian bahawa yang pertama bertanggungjawab menyebabkan orang memasang semula klien yang tidak pernah rosak.

Dua Sifat Yang Tidak Berkaitan

Penyulitan cakera menjawab siapa yang boleh membaca blok apabila mesin dimatikan. Pilihan lekap menjawab apa yang akan dilakukan oleh kernel terhadap bit mod fail apabila seseorang melaksanakannya. Tiada apa pun pada yang pertama mengekang yang kedua, dan komputer riba yang disulitkan sepenuhnya boleh melekapkan sistem fail dengan semua sekatan di tempatnya.

Membacanya sebagai satu sifat itulah yang menghasilkan teori bahawa direktori home yang disulitkan menghalang akses root. Teori itu bertahan kerana kedua-dua simptom muncul pada mesin yang sama, bukan kerana kedua-duanya berkongsi punca.

Apa Yang Sebenarnya Menekan Peralihan

Rujukan execve menerangkan bagaimana fail boleh laku dengan set-user-ID mengubah identiti berkesan proses baharu kepada identiti pemilik fail. Halaman yang sama menyenaraikan syarat yang menekan peralihan itu dan yang setara untuk pengecam kumpulan: tetapan no_new_privs, sistem fail yang dilekapkan dengan nosuid, dan proses yang sedang dijejaki. Keupayaan fail diabaikan di bawah syarat yang sama. Keempat-empat peraturan itu merangkumi hampir setiap laporan jenis ini.

Senarai itu menerangkan mengapa mod yang dicetak oleh ls tidak pernah menjadi keseluruhan cerita kebenaran. Ia tidak memberitahu anda syarat mana yang menyebabkan mesej kegagalan tertentu, dan aplikasi mungkin melaporkan operasi kelayakan yang tidak berkaitan dengan perkataan yang sama. Catat program, pelancar dan urutan ralat yang tepat sebelum membuat kesimpulan.

Kenal pasti fail boleh laku yang dipasang oleh pakej yang disokong, pemiliknya, laluan sebenar dan dasar sistem fail yang menyimpannya. Salinan dalam folder muat turun bukan pembantu yang dipasang, apa pun kata modnya.

Apa Yang Tidak Patut Dilakukan

Meletakkan bit set-user-ID pada binari yang belum disahkan dan memindahkannya ke sana ke mari sehingga sekatan hilang bukan pembaikan. Ia menggantikan dasar yang anda tidak fahami dengan keistimewaan yang anda tidak dapat mengaudit, dan teknik yang sama digunakan pada pembantu ialah laluan peningkatan yang terkenal. Membuang nosuid daripada lekap adalah lebih buruk, kerana ia menjejaskan setiap program pada sistem fail itu, bukan hanya satu.

Laluan yang disokong ialah pemasangan pembantu atau perkhidmatan yang didokumenkan oleh klien, dilakukan oleh pentadbir, yang meletakkan binari di tempat yang dijangka oleh dasar. Ini mengekalkan satu mekanisme keistimewaan bukan dua.

Sahkan Konteks Pelancaran Sebenar

Selepas pembetulan yang dibenarkan, jalankan pembantu seperti produk menjalankannya dan bukan daripada shell root. Kejayaan sebagai root tidak membuktikan apa-apa tentang laluan yang dilalui pengguna biasa, dan perbezaan antara dua konteks itu ialah tepat apa yang menjadi pokok kegagalan.

Kemudian sahkan operasi rangkaian yang menjadi tujuan kewujudan pembantu. Pembantu yang bermula tetapi tidak dapat mengkonfigurasi antara muka telah memindahkan masalah satu peringkat lebih jauh, bukan menyelesaikannya.

findmnt -no TARGET,OPTIONS /home
getcap /usr/libexec/openvpn-helper 2>/dev/null; ls -l /usr/libexec/openvpn-helper

Catat pilihan lekap dan pemilikan pembantu dalam nota yang sama. Jika tidak, orang seterusnya yang menyahpepijat perkara ini akan mengulangi teori penyulitan dari awal.