Hvorfor nosuid hindrer en VPN-hjelper i å bli root

Diskkryptering og et nosuid-monter høres ut som varianter av samme idé, og de har ingenting med hverandre å gjøre. Det ene beskytter data i ro, og det andre avgjør om kjernen vil respektere en privilegiebit i det øyeblikket et program starter. En hjelper som ikke når identiteten den forventer, klager over det andre. Antakelsen om at det første er ansvarlig, får folk til å installere på nytt klienter som aldri var ødelagt.

To Uavhengige Egenskaper

Diskkryptering svarer på hvem som kan lese blokkene når maskinen er avslått. Et monteringsvalg svarer på hva kjernen vil gjøre med en fils modusbits når noen kjører den. Ingenting ved det første begrenser det andre, og en fullt kryptert bærbar maskin kan montere et filsystem med alle begrensninger på plass.

Å lese dem som én egenskap er det som skaper teorien om at en kryptert hjemmemappe hindrer root-tilgang. Den teorien overlever fordi de to symptomene dukker opp på samme maskin, ikke fordi de deler en årsak.

Hva Som Faktisk Undertrykker Overgangen

execve-referansen beskriver hvordan en kjørbar fil med set-user-ID endrer den nye prosessens effektive identitet til filens eier. Samme side lister betingelsene som undertrykker den overgangen, og det tilsvarende for gruppe-ID-er: en no_new_privs-innstilling, et filsystem montert med nosuid og en prosess som spores. Filkapabiliteter ignoreres under de samme betingelsene. Disse fire reglene dekker nesten enhver rapport av denne typen.

Den listen forklarer hvorfor modusen som ls skriver ut, aldri er hele autorisasjonshistorien. Den forteller deg ikke hvilken betingelse som forårsaket en bestemt feilmelding, og programmet kan rapportere en urelatert legitimasjonsoperasjon med samme ordlyd. Noter det nøyaktige programmet, startprogrammet og feilrekkefølgen før du trekker en konklusjon.

Identifiser den kjørbare filen som den støttede pakken installerte, eieren, den virkelige stien og policyen til filsystemet som inneholder den. En kopi i en nedlastingsmappe er ikke den installerte hjelperen, uansett hva modusen sier.

Hva Man Ikke Bør Gjøre

Å sette set-user-ID-biter på en uverifisert binærfil og flytte den rundt til begrensningen forsvinner, er ingen reparasjon. Det erstatter en policy du ikke forstod, med en privilegie du ikke kan revidere, og samme teknikk brukt på en hjelper er en velkjent eskaleringvei. Å fjerne nosuid fra et monter er verre, fordi det påvirker hvert program på det filsystemet, ikke bare ett.

Den støttede veien er klientens dokumenterte installasjon av hjelperen eller tjenesten, utført av en administrator, som plasserer binærfilen der policyen forventer den. Det holder én privilegiemekanisme i stedet for to.

Bekreft Den Virkelige Oppstartskonteksten

Etter en autorisert rettelse, kjør hjelperen slik produktet kjører den, og ikke fra et root-skal. Suksess som root beviser ingenting om veien en vanlig bruker tar, og forskjellen mellom disse to kontekstene er nøyaktig det feilen handlet om.

Bekreft deretter nettverksoperasjonen som hjelperen finnes for. En hjelper som starter, men ikke kan konfigurere grensesnittet, har flyttet problemet ett trinn videre, ikke løst det.

findmnt -no TARGET,OPTIONS /home
getcap /usr/libexec/openvpn-helper 2>/dev/null; ls -l /usr/libexec/openvpn-helper

Noter monteringsvalgene og hjelperens eierskap i samme notat. Ellers vil neste person som feilsøker dette, gjenta krypteringsteorien fra begynnelsen.