Nega nosuid VPN yordamchisining root bo‘lishiga to‘sqinlik qiladi

Diskni shifrlash va nosuid o‘rnatish bir xil g‘oyaning ko‘rinishlaridek eshitiladi va ularning umuman aloqasi yo‘q. Biri tinch holatdagi ma’lumotlarni himoya qiladi, ikkinchisi esa dastur boshlanayotgan paytda yadro imtiyoz bitini hurmat qiladimi-yo‘qmi, shuni hal qiladi. Kutgan shaxsiga yeta olmaydigan yordamchi ikkinchisi haqida shikoyat qiladi. Birinchisi aybdor degan taxmin odamlarni hech qachon buzilmagan mijozlarni qayta o‘rnatishga yuboradi.

Ikki Bog‘lanmagan Xossa

Diskni shifrlash mashina o‘chirilganda bloklarni kim o‘qiy olishini javob beradi. O‘rnatish parametri esa kimdir faylni ishga tushirganda yadro uning rejim bitlari bilan nima qilishini javob beradi. Birinchisida hech narsa ikkinchisini cheklamaydi va to‘liq shifrlangan noutbuk barcha cheklovlari bilan fayl tizimini o‘rnatishi mumkin.

Ularni bitta xossa sifatida o‘qish shifrlangan uy papkasi root kirishini to‘sadi degan nazariyani keltirib chiqaradi. Bu nazariya ikki alomat bir mashinada ko‘rinishi tufayli saqlanib qoladi, ularning sababi bir ekani uchun emas.

O‘tishni Aslida Nima Bosadi

execve ma’lumotnomasi set-user-ID li bajariladigan fayl yangi jarayonning amaldagi shaxsini fayl egasiga qanday o‘zgartirishini tasvirlaydi. Xuddi shu sahifada bu o‘tishni bosadigan shartlar va ularning guruh identifikatorlari uchun ekvivalenti sanab o‘tilgan: no_new_privs sozlamasi, nosuid bilan o‘rnatilgan fayl tizimi va kuzatilayotgan jarayon. Fayl imkoniyatlari ham xuddi shu shartlarda e’tiborsiz qoldiriladi. Ushbu to‘rt qoida bunday turdagi deyarli har bir hisobotni qamrab oladi.

Bu ro‘yxat ls chop etadigan rejim nega hech qachon butun ruxsat tarixi emasligini tushuntiradi. U qaysi shart muayyan xatolik xabarini keltirib chiqarganini aytmaydi va dastur xuddi shu so‘zlar bilan aloqasiz hisob ma’lumotlari amalini xabar qilishi mumkin. Xulosa qilishdan oldin aniq dastur, ishga tushiruvchi va xatolar ketma-ketligini yozib oling.

Qo‘llab-quvvatlanadigan paket o‘rnatgan bajariladigan faylni, uning egasini, haqiqiy yo‘lini va uni saqlovchi fayl tizimining siyosatini aniqlang. Yuklab olish papkasidagi nusxa o‘rnatilgan yordamchi emas, uning rejimi nima desa ham.

Bu Borada Nima Qilmaslik Kerak

Tekshirilmagan binarga set-user-ID bitlarini qo‘yish va cheklov yo‘qolguncha uni u yerga-bu yerga ko‘chirish ta’mir emas. Bu siz tushunmagan siyosatni audit qila olmaydigan imtiyoz bilan almashtiradi va yordamchiga qo‘llangan xuddi shu usul taniqli huquq oshirish yo‘lidir. O‘rnatishdan nosuid ni olib tashlash undan ham yomonroq, chunki u o‘sha fayl tizimidagi har bir dasturga ta’sir qiladi, faqat bittasiga emas.

Qo‘llab-quvvatlanadigan yo‘l — administrator bajaradigan, mijozning hujjatlashtirilgan yordamchi yoki xizmat o‘rnatishi bo‘lib, u binarni siyosat kutgan joyga qo‘yadi. Shunday qilib ikkita emas, bitta imtiyoz mexanizmi qoladi.

Haqiqiy Ishga Tushirish Muhitini Tasdiqlang

Ruxsat etilgan tuzatishdan keyin yordamchini root shellidan emas, mahsulot ishga tushirgandek ishga tushiring. Root sifatidagi muvaffaqiyat oddiy foydalanuvchi bosib o‘tadigan yo‘l haqida hech narsani isbotlamaydi va bu ikki muhit orasidagi farq aynan xatoning mavzusi edi.

So‘ng yordamchi mavjud bo‘lgan tarmoq amalini tasdiqlang. Ishga tushadigan, ammo interfeysni sozlay olmaydigan yordamchi muammoni bir bosqich keyinga surdi, hal qilmadi.

findmnt -no TARGET,OPTIONS /home
getcap /usr/libexec/openvpn-helper 2>/dev/null; ls -l /usr/libexec/openvpn-helper

O‘rnatish parametrlari va yordamchining egaligini bitta eslatmaga yozing. Aks holda buni tuzatadigan keyingi odam shifrlash nazariyasini boshidan takrorlaydi.