Il-buttuna tal-VPN teħtieġ sudo: illimita r-regola, ivvalida l-politika

Il-buttuna tal-VPN taħdem għall-amministratur u tfalli għal kulħadd, għalhekk xi ħadd iżid linja mas-sudoers. Dik il-linja normalment tgħix itwal mill-problema li kellha ssolvi, u spiss tagħti aktar milli teħtieġ il-buttuna. Qabel ma teditja l-politika, iċċekkja jekk is-sid tal-konnessjoni appoġġjat huwiex diġà jista' jagħmel ix-xogħol. It-tliet kundizzjonijiet hawn taħt jiddeċiedu jekk is-sudo huwiex involut xejn.

Kundizzjoni 1: is-sid appoġġjat jista' jagħmilha mingħajr sudo

Fuq ħafna desktops Linux il-maniġer tan-netwerk diġà jippossjedi l-konnessjonijiet VPN, u l-awtorizzazzjoni tiegħu tgħaddi mill-polkit minflok mis-sudo. Utent li jitħalla jtella' konnessjoni jista' jagħmilha mill-linja tal-kmand mingħajr ebda regola root. Iċċekkja x'jippermetti l-maniġer qabel ma tassumi li l-buttuna teħtieġ privileġġ. Jekk it-tweġiba hija iva, il-bidla fis-sudoers qed issolvi problema li ma teżistix.

nmcli connection show
nmcli connection up "Work VPN"

Jekk il-maniġer jirrifjuta, aqra għaliex: regola polkit nieqsa, konnessjoni proprjetà ta' utent ieħor jew profil maħżun fejn l-utent ma jistax jaqrah. Kull wieħed minnhom għandu tiswija appoġġjata eqreb milli hi regola sudo. It-tlugħ tal-privileġġi huwa l-aħħar mezz, mhux l-ewwel.

Kundizzjoni 2: ir-regola ssemmi eżekuttiv wieħed u l-argumenti tiegħu

Jekk is-sudo huwa verament meħtieġ, ir-regola għandha ssemmi l-kmand eżatt u, fejn possibbli, l-argumenti li jista' juża. Regola li tħalli lill-utent iġġerri skript tal-involukru hija sigura biss daqs il-permessi ta' dak l-iskript, għax l-utent jista' jeditja dak li se jwettaq ir-root. Regola b'karattru wildcard wara l-kmand hija l-istess problema f'forma iqsar.

sudo -l -U alice
ls -l /usr/local/sbin/vpn-up

Iċċekkja kull passaġġ fil-katina tal-kmand: il-binarju, l-iskript li jsejjaħ, il-fajl tal-konfigurazzjoni li jaqra u kull direttorju bejniethom. Jekk wieħed minnhom jista' jinkiteb mill-utent, ir-regola limitata fil-prattika hija root bla tmiem. L-argumenti jgħoddu wkoll, għax kmand li jaċċetta passaġġ ta' konfigurazzjoni jista' jiġi indirizzat lejn fajl li jikkontrolla l-utent. Ikteb ir-regola għall-operazzjoni, mhux għall-buttuna.

Waqqaf jekk il-kmand jeħtieġ fajl ikkontrollat mill-utent biex jaħdem. Allura d-disinn huwa ħażin, u ebda sintassi tas-sudoers ma tagħmilha sigura.

Kundizzjoni 3: il-politika kollha tiġi analizzata, mhux biss il-linja tiegħek

Ivvalida bl-editur li jissakkar il-fajl u jiċċekkja s-sintassi, u vvalida l-politika assembljata mhux framment. Fajl li jiġi analizzat waħdu xorta jista' jkisser l-ordni tal-inklużjoni jew jidduplika regola b'tali mod li jinbidel l-imġiba.manwal tal-visudo jiddokumenta kemm l-editur li jissakkar kif ukoll il-modalità ta' verifika biss użata hawn.

sudo visudo -c
sudo visudo -cf /etc/sudoers.d/vpn-launcher

Il-verifika tirrapporta l-fajl u l-linja meta tfalli, u dak ir-rapport huwa l-parti utli. Sejjah il-bidla maħsuba mill-editur minflok ma ssalva b'saħħa żball magħruf, għax politika miksura tista' tissakkar lil kull amministratur f'daqqa. Il-fajls fid-direttorju tal-inklużjoni jeħtieġu wkoll is-sjieda u l-modalità li fittex il-manwal, inkella jiġu injorati jew miċħuda. Is-sintassi hija biss l-ewwel bieb: wara li tgħaddi, aqra r-regola mill-ġdid u staqsi x'qed tippermetti tassew.

Waqqaf jekk l-uniku mod biex il-bidla taħdem huwa li tiddiżattiva l-verifika tas-sintassi. Dik mhix politika, hija waqfa li qed tistenna reboot.

Irkupru: żomm sessjoni li għadha taħdem

Qabel ma ssalva, kun żgur li sessjoni amministrattiva awtorizzata diġà miftuħa u li teżisti tieni triq lejn il-magna. Żball fis-sudoers jista' jieħdok il-kapaċità li ssewwih, u buttuna fuq id-desktop ma tiswiex dan ir-riskju. Jekk is-sudo diġà miksur, uża t-triq tal-irkupru dokumentata tas-sistema minflok timporta waħda.

sudo -n true
id

Alternattivi bħall-pkexec jiddependu mill-installazzjoni u mill-politika tagħhom stess, għalhekk mhumiex it-tieni talba root garantita. Żomm l-awtorizzazzjoni lokali wkoll 'il bogħod mill-forniment tas-sigriet tal-VPN: regola sudo ma tistax tiftaħ aġent tas-sigrieti nieqes, u ma tissodisfax l-MFA tal-gateway. Wara l-korrezzjoni, ipprova l-kont normali li jwettaq biss l-operazzjoni maħsuba, imbagħad uża l-kontrolli tas-soltu tal-maniġer.

Id-deċiżjoni tintemm meta tkun tista' tgħid liema kundizzjoni ġġustifikat is-sudo, x'issemmi r-regola, li l-politika kollha tiġi analizzata, u kif tirkupra li kieku le. Lancier privileġġjat li jiswik l-aċċess amministrattiv huwa skambju ħażin, u normalment jista' jiġi evitat.