nosuid VPN සහායකයාට root වීම වළක්වන්නේ ඇයි

තැටි සංකේතනය සහ nosuid මවුන්ට් එකම අදහසේ ප්‍රභේද ලෙස ඇසේ, නමුත් ඒවාට කිසිදු සම්බන්ධයක් නැත. එකක් විවේකයේ ඇති දත්ත ආරක්ෂා කරයි, අනෙක වැඩසටහන ආරම්භ වන මොහොතේ කර්නලය වරප්‍රසාද බිටුවට ගරු කරන්නේද යන්න තීරණය කරයි. තමා බලාපොරොත්තු වන අනන්‍යතාවට නොපැමිණෙන සහායකයා දෙවැන්න ගැන පැමිණිලි කරයි. පළමුවැන්න වගකිව යුතු බවට ඇති උපකල්පනය මිනිසුන් කිසිදා අලුත්වැඩියා නොකළ සේවාලාභීන් නැවත ස්ථාපනය කිරීමට යවයි.

සම්බන්ධයක් නැති ගුණාංග දෙකක්

යන්ත්‍රය වැසී ඇති විට කොටස් කියවිය හැක්කේ කාටද යන්න තැටි සංකේතනය පිළිතුරු දෙයි. යමෙක් ගොනුවක් ක්‍රියාත්මක කරන විට කර්නලය එහි මෝඩ් බිටු සමඟ කුමක් කරයිද යන්න මවුන්ට් විකල්පය පිළිතුරු දෙයි. පළමුවැන්නේ කිසිවක් දෙවැන්න සීමා නොකරයි, සහ සම්පූර්ණයෙන් සංකේතනය කළ ලැප්ටොප් පරිගණකයකට සියලු සීමා සහිතව ගොනු පද්ධතියක් මවුන්ට් කළ හැකිය.

දෙකම එකම ගුණාංගයක් ලෙස කියවීම නිසා සංකේතනය කළ ගෘහ බහාලුම root ප්‍රවේශය වළක්වන බවට සිද්ධාන්තය පැන නගී. එම සිද්ධාන්තය පවතින්නේ රෝග ලක්ෂණ දෙකම එකම යන්ත්‍රයේ දිස්වන නිසා මිස ඒවාට පොදු හේතුවක් ඇති නිසා නොවේ.

සංක්‍රමණය සැබවින්ම යටපත් කරන්නේ කුමක්ද

set-user-ID සහිත ක්‍රියාත්මක ගොනුවක් නව ක්‍රියාවලියේ ඵලදායී අනන්‍යතාව ගොනුවේ හිමිකරුගේ අනන්‍යතාවට වෙනස් කරන ආකාරය execve යොමුව විස්තර කරයි. එම පිටුවේම එම සංක්‍රමණය යටපත් කරන කොන්දේසි සහ කණ්ඩායම් හඳුන්වන සංඛ්‍යා සඳහා ඊට සමාන කොන්දේසි ලැයිස්තුගත කර ඇත: no_new_privs සැකසුම, nosuid සමඟ මවුන්ට් කළ ගොනු පද්ධතිය, සහ ලුහුබැඳ යන ක්‍රියාවලිය. එම කොන්දේසි යටතේම ගොනු හැකියා නොසලකා හරිනු ලැබේ. එම නීති හතර මේ ආකාරයේ සෑම වාර්තාවක්ම පාහේ ආවරණය කරයි.

ls මුද්‍රණය කරන මෝඩය කිසිදා සම්පූර්ණ අවසර කතාව නොවන්නේ ඇයිද යන්න එම ලැයිස්තුව පැහැදිලි කරයි. කුමන කොන්දේසියක් නිශ්චිත අසාර්ථක පණිවිඩයක් ඇති කළේද යන්න එය නොකියයි, සහ යෙදුම එම වචනවලින්ම අදාළ නොවන අක්තපත්‍ර ක්‍රියාවක් වාර්තා කළ හැකිය. නිගමනයකට එළඹීමට පෙර නිශ්චිත වැඩසටහන, ආරම්භකය සහ දෝෂ අනුපිළිවෙල සටහන් කරන්න.

සහාය දෙන පැකේජය ස්ථාපනය කළ ක්‍රියාත්මක ගොනුව, එහි හිමිකරු, එහි සැබෑ මාර්ගය සහ එය අඩංගු ගොනු පද්ධතියේ ප්‍රතිපත්තිය හඳුනා ගන්න. බාගැනීම් ෆෝල්ඩරයේ ඇති පිටපත ස්ථාපිත සහායකයා නොවේ, එහි මෝඩය කුමක් කීවත්.

මේ ගැන නොකළ යුත්තේ කුමක්ද

නොපරීක්ෂා කළ ද්විමය ගොනුවක set-user-ID බිටු තබා සීමාව අතුරුදහන් වන තෙක් එය මෙතැනින් එතැනට ගෙන යාම අලුත්වැඩියාවක් නොවේ. එය ඔබට තේරුම් නොගිය ප්‍රතිපත්තියක් ඔබට විගණනය කළ නොහැකි වරප්‍රසාදයකින් ප්‍රතිස්ථාපනය කරයි, සහ සහායකයෙකුට එම උපායමාර්ගයම යෙදීම සුප්‍රසිද්ධ බලවත් කිරීමේ මාර්ගයකි. මවුන්ට් එකකින් nosuid ඉවත් කිරීම වඩාත් නරකය, මන්ද එය එම ගොනු පද්ධතියේ සෑම වැඩසටහනකටම බලපාන නිසා, එකකට පමණක් නොවේ.

සහාය දෙන මාර්ගය වන්නේ පරිපාලකයෙකු විසින් සිදු කරන සේවාලාභියාගේ ලේඛනගත සහායක හෝ සේවා ස්ථාපනයයි, එය ද්විමය ගොනුව ප්‍රතිපත්තිය බලාපොරොත්තු වන තැන තබයි. එසේ කිරීමෙන් දෙකක් වෙනුවට එක් වරප්‍රසාද යාන්ත්‍රණයක් රැඳේ.

සැබෑ ආරම්භක සන්දර්භය තහවුරු කරන්න

අවසර ලත් නිවැරදි කිරීමකින් පසු සහායකයා root ෂෙලයකින් නොව, නිෂ්පාදනය එය ධාවනය කරන ආකාරයටම ධාවනය කරන්න. root ලෙස ලැබෙන සාර්ථකත්වය සාමාන්‍ය පරිශීලකයා ගන්නා මාර්ගය ගැන කිසිවක් ඔප්පු නොකරයි, සහ මෙම සන්දර්භ දෙක අතර වෙනස අසාර්ථකත්වය ගැන වූයේ හරියටම එයයි.

පසුව සහායකයා පවතින ජාල ක්‍රියාව තහවුරු කරන්න. ආරම්භ වුවත් අතුරුමුහුණත වින්‍යාස කළ නොහැකි සහායකයා ගැටලුව එක් අදියරක් ඉදිරියට ගෙන ගොස් ඇත, විසඳා නැත.

findmnt -no TARGET,OPTIONS /home
getcap /usr/libexec/openvpn-helper 2>/dev/null; ls -l /usr/libexec/openvpn-helper

මවුන්ට් විකල්ප සහ සහායකයාගේ හිමිකාරිත්වය එකම සටහනක සටහන් කරන්න. එසේ නොකළොත් මෙය නිර්දෝෂ කරන ඊළඟ පුද්ගලයා සංකේතන සිද්ධාන්තය නැවත මුල සිට පුනරුච්චාරණය කරනු ඇත.