PrivateTmp: il-hook kiteb il-fajl, imma fejn mar?

Il-hooks jirrappurtaw suċċess, u l-istess mogħdija xorta tidher vojta minn shell. Iż-żewġ stqarrijiet jistgħu jkunu veri fl-istess ħin, għax servizz systemd jista’ jgħix fi spazju tal-ismijiet tal-mount tiegħu stess b’direttorju temporanju privat. Ladarba dan jinftiehem, il-mistoqsija interessanti ssir jekk il-kitba rnexxietx xejn.

Żewġ direttorji temporanji, mogħdija waħda

Is-setting tal-iżolament tagħti lill-unit ħarsa privata lejn id-direttorji temporanji minflok ma tagħmilhom qari biss. Proċessi barra mill-unit ma jistgħux jaraw x’jikteb hemm, u kulma jħalli warajh jintrema meta l-unit tieqaf. Għalhekk mogħdija stampata mill-hook u mogħdija vverifikata minn shell jistgħu jirreferu għal oġġetti differenti bl-istess isem.

Din hija problema ta’ viżibilità, u tidher bħal problema ta’ telf ta’ data. Xejn ma tħassar, għax il-fajl sempliċement jinsab fi spazju tal-ismijiet li s-shell mhix membru tiegħu. L-istess kmand iġib ruħu b’mod differenti meta jiġi eżegwit ġewwa l-unit, u din hija l-osservazzjoni li soltu ssolvi l-argument. Aqra s-settings tal-unit qabel ma tikkonkludi xejn dwar il-kitba.

Issepara l-inviżibbli mill-impossibbli li tinkiteb

Kitba li tirnexxi u fetħiet li jfallu jipproduċu evidenza differenti, u din id-distinzjoni tiddetermina t-tiswija. Jekk il-hook jgħid li l-fajl inħoloq imma qarrej barrani ma jsibux, għandek mistoqsija dwar l-ispazju tal-ismijiet. Jekk l-hook jirrapporta żball ta’ permess jew fetħa li falliet, il-fajl qatt ma nkiteb u ebda bidla fl-ispazju tal-ismijiet ma tgħin.

systemctl show [email protected] -p PrivateTmp -p User -p Group -p RuntimeDirectory
systemctl show [email protected] -p MainPID --value
sudo ls -l /proc/PID/root/tmp/client-state

Il-mogħdija mill-għerq tal-proċess turi l-ħarsa tas-sistema tal-fajls tas-servizz stess, suġġetta għall-kontrolli tal-permessi fuq dak il-proċess waqt li għadu għaddej. Aqra l-ġurnal tal-unit fl-istess sessjoni, għax żball ta’ kitba u fajl nieqes faċilment jiġu konfużi ladarba xi ħadd ikun diġà ddeċieda l-kawża.

Agħti lill-data maqsuma post espliċitu

Id-data li teħtieġ biss is-servizz tappartjeni għad-direttorju temporanju privat tiegħu. Id-data li proċess ieħor irid jaqra teħtieġ mogħdija definita għat-tnejn, b’sid, mod u skadenza ddikjarati. Iddeċiedi liema miż-żewġ każijiet għandek qabel ma teditja l-unit. Il-biċċa l-kbira ta’ dawn l-inċidenti jiġu milli fajl privat jiġi ttrattat bħala wieħed maqsum.

[Service]
RuntimeDirectory=openvpn-hook-office
RuntimeDirectoryMode=0750

Direttorju tal-ħin tal-eżekuzzjoni jqiegħed il-folder taħt iż-żona tal-ħin tal-eżekuzzjoni tas-sistema, joħolqu għall-utent u l-grupp konfigurati tal-unit, u jneħħih meta l-unit tieqaf. Żidu permezz ta’ drop-in sabiex l-unit tal-pakkett jibqa’ intatt, imbagħad erġa’ għabbi l-maniġer u erġa’ ibda dik l-istanza, waqt li taċċetta li l-klijenti tagħha jerġgħu jingħaqdu.

Żomm kwalunkwe direttorju tal-ħin tal-eżekuzzjoni li l-unit installat diġà jeħtieġ. Li tissostitwixxi l-lista minflok iżżid magħha hija mod komuni kif tinkiser karatteristika mhux relatata li ħadd ma jgħaqqadha mal-bidla.

Żewġ saffi ta’ privileġġi jistgħu ma jaqblux

Il-maniġer tas-servizzi joħloq id-direttorju għall-utent konfigurat tal-unit, filwaqt li d-daemon VPN jista’ jinżel b’mod separat għall-kont tiegħu qabel ma jħaddem hook tal-konnessjoni. Dawn huma saffi differenti, u jistgħu jismu identitajiet differenti.

Direttorju proprjetà ta’ root b’mod restrittiv huwa kompletament viżibbli għal daemon li diġà telaq mill-privileġġi, u xorta mhux kitba tiegħu. L-iżball imbagħad jinqara bħala problema ta’ permessi għalkemm il-mogħdija teżisti eżattament fejn kont qed tistenna. Qabbel is-sid tad-direttorju mal-identità li jirrapporta l-hook. Meta jvarjaw, il-mod qatt ma kien il-mistoqsija.

Iċċekkja l-identità li l-hook verament jaħdem taħtha qabel ma tbiddel is-sjieda. Li tbiddel l-utent tal-eżekuzzjoni tas-servizz biex tissewwi direttorju jista’ jbiddel l-aċċess għall-apparati u l-privileġġi tan-netwerk ximkien ieħor, u dan huwa prezz għoli għal problema żgħira.

Ivverifika l-kunsinna kollha

Ikkonferma erba’ affarijiet f’daqqa: il-hook jikteb taħt l-identità vera tiegħu, il-qarrej maħsub jista’ jikkonsma l-fajl, utenti mhux relatati ma jistgħux, u t-twaqqif tal-unit tnaddaf kif iddisinjat. Li jidher fajl fid-direttorju temporanju maqsum tal-host mhijiex rekwiżit, u normalment hija sinjal li l-iskambju qatt ma kiseb mogħdija tiegħu stess. Ittestja l-qarrej wara t-tnedija mill-ġdid, mhux biss waqt l-ewwel eżekuzzjoni. L-imġiba tat-tindif hija parti mid-disinn, allura osservaha minflok ma tassumiha.

L-istat persistenti jappartjeni lil post b’ħajja li taqbel, għax direttorju tal-ħin tal-eżekuzzjoni huwa maħsub biex jisparixxi. Agħżel il-post skont il-ħajja u mhux skont il-konvenjenza. Dik id-drawwa tipprevjeni l-verżjoni li jmiss tal-istess investigazzjoni.