Root f’terminal, miċħud taħt SELinux: għaliex il-hook ifalli

Inti tmexxi l-iskript up bħala root, dan jitlesta, u l-istess skript ifalli meta s-servizz isejjaħlu. Xejn mill-permessi tal-fajl ma nbidel, għalhekk il-pass naturali li jmiss huwa li terġa’ tħollhom, li ma jsewwi xejn. Fuq host SELinux il-fattur deċiżiv spiss mhuwiex min hu l-proċess imma f’liema dominju jmur, u root ġewwa dominju ristrett jibqa’ ristrett.

L-istess kmand, żewġ dominji tas-sigurtà differenti

L-infurzar tat-tipi jevalwa flimkien id-dominju tas-sors, it-tikketta tal-mira u l-operazzjoni mitluba. Is-sessjoni tat-terminal tiegħek tmur f’dominju mhux ristrett jew amministrattiv, u d-daemon imur fid-dominju assenjat lill-unit tiegħu. Għalhekk kmandi identiċi jagħtu deċiżjonijiet differenti, u d-differenza hija intenzjonata u mhix bug fil-politika.

Huwa għalhekk li t-tqabbil taż-żewġ eżekuzzjonijiet huwa utli biss jekk tqabbel il-kuntesti tagħhom. Mexxi l-istess kmand mill-qoxra u mill-hook, u l-verżjoni tal-qoxra turi li l-binarju jeżisti u li l-argumenti huma tajbin; ma turi xejn dwar jekk is-servizz huwiex permess li jmexxih. Mexxih biż-żewġ modi u qabbel id-dominji, mhux biss il-kodiċijiet tal-ħruġ. Dak it-tqabbil huwa dak li jibdel ilment vag dwar permessi f’mistoqsija preċiża dwar dominju wieħed u tikketta waħda.

Il-forma klassika ta’ dan il-ħsara hija assistent li jsejjaħ għodda esterna. Il-hook innifsu jista’ jkun permess, filwaqt li l-għodda li jsejjaħ iġġorr tikketta li d-dominju tas-servizz ma jistax imexxi, jew jikteb f’direttorju li t-tikketta tiegħu tipprojbixxi dan.

Aqra r-rekord AVC ħdejn l-iżball tal-hook

Ċaħda AVC issemmi l-oqsma li jiddeċiedu l-każ: il-kuntest tas-sors tal-proċess, il-kuntest tal-mira tal-oġġett, il-klassi tal-oġġett u l-permess speċifiku li ġie miċħud. Aqra l-erbgħa kollha qabel ma tibni teorija, għax ċaħda fuq l-eżekuzzjoni u ċaħda fuq il-kitba għandhom tiswijiet kompletament differenti.

ausearch -m AVC,USER_AVC -ts recent
ls -Z /usr/local/sbin/vpn-up.sh
ps -eZ | grep openvpn

Il-kuntest tas-sors għandu jaqbel mad-dominju li fih is-servizz fil-fatt imur, u l-kuntest tal-mira mat-tikketta tal-fajl jew tad-direttorju li messet l-operazzjoni. Jekk wieħed minnhom ma jaqbilx mal-iżball li qed issegwi, qed taqra avveniment ieħor.

Innota l-verżjoni tal-politika u l-mogħdija eżatta tal-fajl eżegwibbli ħdejn ir-rekord. Isem ta’ dominju li jidher fil-politika ta’ distribuzzjoni waħda huwa prova dwar dik l-installazzjoni, mhux garanzija li bini ieħor iwassal l-istess regoli. Dak il-kuntest huwa dak li jippermetti lil xi ħadd ieħor jirriproduċi l-konklużjoni tiegħek fuq il-host tiegħu stess. Mingħajru, ir-rekord jinqara bħala anekdota u mhux bħala prova.

Tikketta, konfigurazzjoni jew politika: tliet tiswijiet

L-ewwel tiswija hija tikketta li ma taqbilx mal-post installat tal-fajl. Skript ikkupjat fil-post tiegħu b’cp jew miktub b’editur jista’ jġorr tikketta awtomatika li d-dominju tas-servizz ma jistax juża, u r-restawr tal-kuntest mistenni jsewwi dan mingħajr ma jmiss il-politika xejn.

It-tieni hija l-konfigurazzjoni. Id-distribuzzjoni tista’ tipprovdi mod appoġġjat biex tmexxi l-operazzjoni, direttorju dokumentat għall-assistent, jew pakkett ta’ politika aġġornat li diġà jippermettiha. Li tbiddel it-tqassim tiegħek għal dak appoġġjat huwa irħas milli tikteb politika u jgħaddi mill-aġġornamenti.

It-tielet hija regola li tassew nieqsa, u għandha tkun l-aħħar rimedju. Iġġenera kandidat bl-għodod tal-awditjar, aqra x’jippermetti fil-fatt, iċċekkna għall-operazzjoni u d-dominju li osservajt, u ħalli lil xi ħadd ieħor jirrevedih qabel ma joqrob lejn il-produzzjoni.

Għaliex modulu allow qadim mhuwiex it-tweġiba

Ir-riżultati tat-tiftix għal dan il-ħsara huma mimlija moduli lesti, spiss għal għodda li l-hook ma jibqax isejjaħ. Li tinstalla wieħed jagħti permessi li jista’ ma jkollhom xejn x’jaqsmu maċ-ċaħda tiegħek, u jħalli l-veru nuqqas ta’ qbil fil-post waqt li jżid toqba permanenti.

Dan jaħbi wkoll il-falliment li jmiss. Modulu li jippermetti klassi wiesgħa ta’ operazzjonijiet se jġiegħel dan l-iżball jisparixxi u jbiddel dak li jmiss f’xi ħaġa ħafna aktar diffiċli biex tiġi attribwita. Li tneħħi l-modulu aktar tard huwa wkoll bidla li ħadd ma jrid jiskeda, għalhekk is-shortcut għandu t-tendenza li jsir permanenti.

It-tqabbil dixxiplinat huwa bejn iċ-ċaħda li tista’ taqra u l-bidla li tipproponi. Il-gwida għas-soluzzjoni tal-problemi ta’ SELinux ta’ Red Hat tqiegħed il-kontrolli tat-tikkettar u tal-konfigurazzjoni qabel il-politika ġġenerata eżatt għal din ir-raġuni. Jekk m’hemmx ċaħda korrispondenti fir-rekord, SELinux x’aktarx mhuwiex il-problema tiegħek, u kwistjonijiet ta’ mogħdija, sandbox jew permessi għadhom miftuħa.