Bakit Hinaharang ng nosuid ang Isang VPN Helper na Maging root

Ang pag-encrypt ng disk at nosuid mount ay parang mga baryante ng iisang ideya, at wala silang kinalaman sa isa’t isa. Pinoprotektahan ng isa ang data habang nakapahinga, at nagpapasya ang isa kung igagalang ng kernel ang bit ng pribilehiyo sa sandaling magsimula ang isang programa. Ang helper na hindi naaabot ang inaasahang pagkakakilanlan ay nagrereklamo tungkol sa pangalawa. Ang palagay na ang una ang may pananagutan ay nagpapadala ng mga tao na i-install muli ang mga kliyenteng hindi naman nasira.

Dalawang Magkaibang Katangian

Sinasagot ng pag-encrypt ng disk kung sino ang makakabasa ng mga bloke kapag patay ang makina. Sinasagot ng opsyon sa mount kung ano ang gagawin ng kernel sa mga bit ng mode ng isang file kapag may nagpatakbo nito. Walang anuman sa una ang naglilimita sa pangalawa, at ang isang ganap na naka-encrypt na laptop ay makakapag-mount ng filesystem na may lahat ng paghihigpit sa lugar.

Ang pagbasa sa kanila bilang isang katangian ang lumilikha ng teorya na hinaharang ng naka-encrypt na home ang pag-access ng root. Nananatili ang teoryang iyon dahil lumilitaw ang dalawang sintomas sa iisang makina, hindi dahil may pareho silang dahilan.

Ano Talaga ang Pumipigil sa Transisyon

Inilalarawan ng sanggunian ng execve kung paano binabago ng executableng may set-user-ID ang epektibong pagkakakilanlan ng bagong proseso tungo sa may-ari ng file. Inililista rin sa parehong pahina ang mga kundisyong pumipigil sa transisyong iyon at ang katumbas nito para sa mga identifier ng grupo: isang setting na no_new_privs, isang filesystem na naka-mount na may nosuid, at isang prosesong sinusubaybayan. Binabalewala ang mga kakayahan ng file sa ilalim ng parehong kundisyon. Sinasaklaw ng apat na alituntuning iyon ang halos lahat ng ulat na ganito.

Ipinapaliwanag ng listahang iyon kung bakit ang mode na ipiniprinta ng ls ay hindi kailanman ang buong kuwento ng awtorisasyon. Hindi nito sinasabi kung aling kundisyon ang nagdulot ng isang partikular na mensahe ng pagkabigo, at maaaring nag-uulat ang aplikasyon ng isang walang kaugnayang operasyon ng kredensyal sa parehong mga salita. Itala ang eksaktong programa, launcher at pagkakasunod-sunod ng error bago magbigay ng konklusyon.

Kilalanin ang executableng inilagay ng sinusuportahang pakete, ang may-ari nito, ang tunay na landas at ang patakaran ng filesystem na naglalaman nito. Ang kopyang nasa folder ng mga download ay hindi ang naka-install na helper, anuman ang sabihin ng mode nito.

Ano ang Hindi Dapat Gawin

Ang paglalagay ng bit na set-user-ID sa isang binary na hindi pa beripikado at ang paglilipat-lipat nito hanggang mawala ang paghihigpit ay hindi pag-aayos. Pinapalitan nito ang isang patakarang hindi mo naintindihan ng isang pribilehiyong hindi mo maa-audit, at ang parehong teknik na inilapat sa isang helper ay kilalang landas ng pag-escalate. Ang pag-alis ng nosuid sa isang mount ay mas masahol pa, dahil naaapektuhan nito ang bawat programa sa filesystem na iyon, hindi lang isa.

Ang sinusuportahang landas ay ang dokumentadong pag-install ng helper o serbisyo ng kliyente, na ginagawa ng isang administrator, na naglalagay ng binary kung saan ito inaasahan ng patakaran. Sa gayon nananatiling isang mekanismo ng pribilehiyo sa halip na dalawa.

Kumpirmahin ang Tunay na Konteksto ng Paglulunsad

Pagkatapos ng awtorisadong pagwawasto, patakbuhin ang helper gaya ng pagpapatakbo ng produkto nito at hindi mula sa root shell. Ang tagumpay bilang root ay walang pinatutunayan tungkol sa landas ng karaniwang user, at ang pagkakaiba ng dalawang kontekstong iyon ang eksaktong paksa ng pagkabigo.

Pagkatapos ay kumpirmahin ang operasyon ng network na dahilan ng pag-iral ng helper. Ang helper na nagsisimula ngunit hindi makapag-configure ng interface ay naglipat ng problema nang isang yugto, hindi ito nalutas.

findmnt -no TARGET,OPTIONS /home
getcap /usr/libexec/openvpn-helper 2>/dev/null; ls -l /usr/libexec/openvpn-helper

Itala ang mga opsyon ng mount at ang pagmamay-ari ng helper sa iisang tala. Kung hindi, uulitin ng susunod na magde-debug nito ang teorya ng pag-encrypt mula sa simula.