Għala nosuid ma jħallix assistent tal-VPN isir root

Il-kriptaġġ tad-diska u mount nosuid jidhru bħala varjanti tal-istess idea, u m’għandhom xejn x’jaqsmu. Wieħed jipproteġi d-data fil-mistrieħ, u l-ieħor jiddeċiedi jekk il-kernel jirrispettax bit tal-privileġġ fil-mument li program jibda. Assistent li ma jilħaqx l-identità li jistenna qed jilmenta dwar it-tieni. Is-suppożizzjoni li l-ewwel huwa responsabbli tibgħat lin-nies jerġgħu jinstallaw klijenti li qatt ma kienu miksura.

Żewġ Proprjetajiet Mhux Relatati

Il-kriptaġġ tad-diska jwieġeb min jista’ jaqra l-blokki meta l-magna tkun mitfija. L-għażla tal-mount twieġeb x’se jagħmel il-kernel bil-bits tal-mod ta’ fajl meta xi ħadd jeżegwih. Xejn fl-ewwel ma jillimita t-tieni, u laptop ikkriptat għal kollox jista’ jimmonta sistema tal-fajls b’kull restrizzjoni f’postha.

Li taqrahom bħala proprjetà waħda hija dik li tipproduċi t-teorija li direttorju tad-dar ikkriptat jipprevjeni l-aċċess root. Dik it-teorija tibqa’ ħajja għax iż-żewġ sintomi jidhru fuq l-istess magna, mhux għax jaqsmu kawża.

X’Jissopprimi Verament it-Tranżizzjoni

Ir-referenza tal-execve tiddeskrivi kif fajl eżegwibbli b’set-user-ID ibiddel l-identità effettiva tal-proċess il-ġdid għal dik tas-sid tal-fajl. L-istess paġna telenka l-kundizzjonijiet li jissopprimu dik it-tranżizzjoni u l-ekwivalenti tagħhom għall-identifikaturi tal-grupp: setting no_new_privs, sistema tal-fajls immuntata b’nosuid, u proċess li qed jiġi traċċat. Il-kapaċitajiet tal-fajl jiġu injorati taħt l-istess kundizzjonijiet. Dawk l-erba’ regoli jkopru kważi kull rapport ta’ dan it-tip.

Dik il-lista tispjega għala l-mod li jipprintja ls mhu qatt l-istorja kollha tal-awtorizzazzjoni. Ma tgħidlekx liema kundizzjoni kkawżat messaġġ ta’ falliment partikolari, u l-applikazzjoni tista’ tkun qed tirrapporta operazzjoni ta’ kredenzjali mhux relatata bl-istess kliem. Innota l-programm eżatt, il-lancjar u s-sekwenza tal-iżbalji qabel ma tasal għal konklużjoni.

Identifika l-fajl eżegwibbli li installa l-pakkett appoġġjat, is-sid tiegħu, il-passaġġ reali tiegħu u l-politika tas-sistema tal-fajls li fih. Kopja f’folder tat-tniżżil mhijiex l-assistent installat, x’jagħid il-mod tiegħu.

X’Ma Għandux Isir

It-tqegħid ta’ bits set-user-ID fuq binariu mhux verifikat u t-tmexxija tiegħu ’l hawn u ’l hemm sakemm tisparixxi r-restrizzjoni mhuwiex tiswija. Dan jissostitwixxi politika li ma fhimtx bi privileġġ li ma tistax tawditjah, u l-istess teknika applikata għal assistent hija triq magħrufa ta’ eskalazzjoni. It-tneħħija ta’ nosuid minn mount hija agħar, għax taffettwa kull programm fuq dik is-sistema tal-fajls, mhux wieħed biss.

It-triq appoġġjata hija l-installazzjoni dokumentata tal-assistent jew tas-servizz mill-klijent, imwettqa minn amministratur, li tqiegħed il-binariu fejn il-politika tistennieh. Dan iżomm mekkaniżmu wieħed ta’ privileġġ minflok tnejn.

Ivverifika l-Kuntest Reali tat-Tnedija

Wara korrezzjoni awtorizzata, ħaddem l-assistent kif iħaddmu l-prodott u mhux minn qoxra root. Suċċess bħala root ma jipprova xejn dwar il-passaġġ li jieħu utent normali, u d-differenza bejn dawn iż-żewġ kuntesti hija eżattament dak li kienet dwarha l-falliment.

Imbagħad ivverifika l-operazzjoni tan-netwerk li għaliha jeżisti l-assistent. Assistent li jibda imma ma jistax jikkonfigura l-interface mexxa l-problema stadju aktar ’il quddiem, ma solviehiex.

findmnt -no TARGET,OPTIONS /home
getcap /usr/libexec/openvpn-helper 2>/dev/null; ls -l /usr/libexec/openvpn-helper

Innota l-għażliet tal-mount u s-sjieda tal-assistent fl-istess nota. Inkella l-persuna li jmiss li tiddenebbaggja dan terġa’ tibda t-teorija tal-kriptaġġ mill-bidu.