Pse nosuid e pengon një ndihmës VPN të bëhet root

Kriptimi i diskut dhe një montim nosuid tingëllojnë si variante të së njëjtës ide, dhe nuk kanë fare lidhje. Njëri mbron të dhënat në qetësi, dhe tjetri vendos nëse bërthama do të respektojë një bit privilegji në momentin kur një program niset. Një ndihmës që nuk arrin identitetin që pret po ankohet për të dytin. Supozimi se i pari është përgjegjës i shtyn njerëzit të riinstalojnë klientë që nuk ishin prishur kurrë.

Dy Veti të Palidhura

Kriptimi i diskut përgjigjet se kush mund t’i lexojë blloqet kur makina është e fikur. Një opsion montimi përgjigjet se çfarë do të bëjë bërthama me bitat e modalitetit të një skedari kur dikush e ekzekuton. Asgjë te i pari nuk e kufizon të dytin, dhe një laptop plotësisht i kriptuar mund të montojë një sistem skedarësh me të gjitha kufizimet në vend.

Leximi i tyre si një veti e vetme është ajo që prodhon teorinë se një drejtori shtëpie e kriptuar pengon aksesin root. Kjo teori mbijeton sepse dy simptomat shfaqen në të njëjtën makinë, jo sepse ndajnë një shkak.

Çfarë e Shtyp Vërtet Kalimin

Referenca e execve përshkruan se si një skedar i ekzekutueshëm me set-user-ID e ndryshon identitetin efektiv të procesit të ri në atë të pronarit të skedarit. E njëjta faqe rendit kushtet që e shtypin këtë kalim dhe ekuivalentin e tyre për identifikuesit e grupit: një cilësim no_new_privs, një sistem skedarësh i montuar me nosuid, dhe një proces që po gjurmohet. Aftësitë e skedarit injorohen në të njëjtat kushte. Këto katër rregulla mbulojnë pothuajse çdo raport të këtij lloji.

Ai listë shpjegon pse modaliteti që shtyp ls nuk është kurrë e gjithë historia e autorizimit. Nuk të thotë se cili kusht shkaktoi një mesazh të caktuar dështimi, dhe aplikacioni mund të raportojë një veprim kredencialesh të palidhur me të njëjtat fjalë. Shënoni programin e saktë, nisësin dhe sekuencën e gabimeve përpara se të nxirrni një përfundim.

Identifikoni skedarin e ekzekutueshëm që instaloi paketa e mbështetur, pronarin e tij, rrugën e vërtetë dhe politikën e sistemit të skedarëve që e mban. Një kopje në një dosje shkarkimesh nuk është ndihmësi i instaluar, çfarëdo që thotë modaliteti i saj.

Çfarë Nuk Duhet Bërë

Vendosja e biteve set-user-ID mbi një binar të paverifikuar dhe lëvizja e tij derisa kufizimi të zhduket nuk është riparim. Zëvendëson një politikë që nuk e keni kuptuar me një privilegj që nuk mund ta auditoni, dhe e njëjta teknikë e zbatuar mbi një ndihmës është një rrugë e njohur përshkallëzimi. Heqja e nosuid nga një montim është më keq, sepse prek çdo program në atë sistem skedarësh, jo vetëm një.

Rruga e mbështetur është instalimi i dokumentuar i ndihmësit ose shërbimit nga klienti, i kryer nga një administrator, i cili e vendos binarin atje ku politika e pret. Kështu mbetet një mekanizëm privilegjesh në vend të dy.

Konfirmo Kontekstin e Vërtetë të Nisjes

Pas një korrigjimi të autorizuar, ekzekutoni ndihmësin ashtu siç e ekzekuton produkti dhe jo nga një shell root. Suksesi si root nuk provon asgjë për rrugën që ndjek një përdorues normal, dhe ndryshimi midis këtyre dy konteksteve është pikërisht ajo për të cilën ishte dështimi.

Më pas konfirmoni veprimin e rrjetit për të cilin ekziston ndihmësi. Një ndihmës që niset por nuk mund të konfigurojë ndërfaqen e ka zhvendosur problemin një fazë më tej, nuk e ka zgjidhur.

findmnt -no TARGET,OPTIONS /home
getcap /usr/libexec/openvpn-helper 2>/dev/null; ls -l /usr/libexec/openvpn-helper

Shënoni opsionet e montimit dhe pronësinë e ndihmësit në të njëjtën shënim. Përndryshe personi tjetër që do ta korrigjojë këtë do të përsërisë teorinë e kriptimit nga fillimi.