nosuid ले VPN सहायकलाई root बन्नबाट किन रोक्छ

डिस्क इन्क्रिप्शन र nosuid माउन्ट एउटै विचारका भिन्न रूपजस्ता सुनिन्छन्, र तिनीहरूको कुनै सम्बन्ध छैन। एउटाले आराम अवस्थाको डेटा जोगाउँछ, र अर्कोले प्रोग्राम सुरु हुने क्षणमा कर्नेलले विशेषाधिकार बिटको सम्मान गर्ने वा नगर्ने निर्णय गर्छ। आफ्नो अपेक्षित पहिचानसम्म पुग्न नसक्ने सहायक दोस्रोको बारेमा गुनासो गरिरहेको हुन्छ। पहिलो नै जिम्मेवार छ भन्ने अनुमानले मानिसहरूलाई कहिल्यै बिग्रिएका नभएका क्लाइन्ट पुनः इन्स्टल गर्न पठाउँछ।

दुई असम्बन्धित गुण

मेसिन बन्द हुँदा ब्लकहरू कसले पढ्न सक्छ भन्ने डिस्क इन्क्रिप्शनले जवाफ दिन्छ। कसैले फाइल चलाउँदा कर्नेलले त्यसको मोड बिटसँग के गर्छ भन्ने माउन्ट विकल्पले जवाफ दिन्छ। पहिलोमा कुनै कुराले दोस्रोलाई सीमित गर्दैन, र पूर्ण रूपमा इन्क्रिप्टेड ल्यापटपले सबै प्रतिबन्धसहित फाइल सिस्टम माउन्ट गर्न सक्छ।

दुवैलाई एउटै गुणका रूपमा पढ्नुले नै इन्क्रिप्टेड होमले root पहुँच रोक्छ भन्ने सिद्धान्त जन्माउँछ। त्यो सिद्धान्त टिक्नुको कारण दुवै लक्षण एउटै मेसिनमा देखिनु हो, तिनीहरूको कारण एउटै हुनु होइन।

संक्रमणलाई वास्तवमा के दबाउँछ

execve सन्दर्भले set-user-ID भएको कार्यान्वयनयोग्य फाइलले नयाँ प्रक्रियाको प्रभावी पहिचान फाइलको मालिकको बनाउने तरिका वर्णन गर्छ। त्यही पृष्ठले त्यो संक्रमण दबाउने सर्तहरू र समूह पहिचानकर्ताका लागि तिनका समकक्ष सूचीबद्ध गर्छ: no_new_privs सेटिङ, nosuid सँग माउन्ट गरिएको फाइल सिस्टम, र ट्रेस हुँदै गरेको प्रक्रिया। तीही सर्तमा फाइल क्षमताहरू बेवास्ता गरिन्छ। ती चार नियमले यस प्रकारका लगभग सबै प्रतिवेदन समेट्छन्।

त्यो सूचीले ls ले छाप्ने मोड कहिल्यै पूरै अनुमति कथा नहुने कुरा बुझाउँछ। कुन सर्तले कुनै निश्चित असफलता सन्देश निम्त्यायो भन्ने यसले बताउँदैन, र अनुप्रयोगले तीही शब्दमा असम्बन्धित प्रमाणपत्र कार्यको रिपोर्ट गरिरहेको हुन सक्छ। निष्कर्ष निकाल्नुअघि ठ्याक्कै प्रोग्राम, लन्चर र त्रुटिको क्रम नोट गर्नुहोस्।

समर्थित प्याकेजले इन्स्टल गरेको कार्यान्वयनयोग्य फाइल, त्यसको मालिक, यसको वास्तविक मार्ग र यसलाई राख्ने फाइल सिस्टमको नीति पहिचान गर्नुहोस्। डाउनलोड फोल्डरमा रहेको प्रतिलिपि इन्स्टल गरिएको सहायक होइन, यसको मोडले जे भने पनि।

यसबारे के गर्नु हुँदैन

जाँच नगरिएको बाइनरीमा set-user-ID बिट राख्नु र प्रतिबन्ध हराउन्जेल त्यसलाई यताउता सारिरहनु मर्मत होइन। यसले तपाईंले नबुझेको नीतिको ठाउँमा तपाईंले अडिट गर्न नसक्ने विशेषाधिकार राख्छ, र सहायकमा त्यही प्रविधि लगाउनु परिचित एस्केलेसन मार्ग हो। माउन्टबाट nosuid हटाउनु अझ नराम्रो हो, किनकि यसले त्यो फाइल सिस्टमका हरेक प्रोग्रामलाई असर गर्छ, एउटालाई मात्र होइन।

समर्थित मार्ग भनेको प्रशासकले गर्ने क्लाइन्टको प्रलेखित सहायक वा सेवा इन्स्टलेसन हो, जसले बाइनरीलाई नीतिले अपेक्षा गर्ने ठाउँमा राख्छ। यसले दुईको सट्टा एउटै विशेषाधिकार संयन्त्र कायम राख्छ।

वास्तविक लन्च सन्दर्भ पुष्टि गर्नुहोस्

अधिकृत सुधारपछि सहायकलाई root शेलबाट होइन, उत्पादनले चलाएजसरी नै चलाउनुहोस्। root का रूपमा सफलता सामान्य प्रयोगकर्ताले लिने मार्गबारे केही पनि प्रमाणित गर्दैन, र यी दुई सन्दर्भबीचको भिन्नता नै असफलताको वास्तविक विषय थियो।

त्यसपछि सहायक जुन नेटवर्क कार्यका लागि छ त्यो पुष्टि गर्नुहोस्। सुरु हुने तर इन्टरफेस कन्फिगर गर्न नसक्ने सहायकले समस्यालाई एक चरण अगाडि सारेको हो, समाधान गरेको होइन।

findmnt -no TARGET,OPTIONS /home
getcap /usr/libexec/openvpn-helper 2>/dev/null; ls -l /usr/libexec/openvpn-helper

माउन्ट विकल्प र सहायकको स्वामित्व एउटै नोटमा लेख्नुहोस्। नत्र यसलाई डिबग गर्ने अर्को व्यक्तिले इन्क्रिप्शनको सिद्धान्त फेरि सुरुदेखि दोहोर्याउनेछ।