Използване на SSH през UNIX сокет вместо sudo за избягване на файлове с suid

Тимоти Равье (Timothee Ravier) от компанията Red Hat, поддръжник на проектите Fedora Silverblue и Fedora Kinoite, предложи начин за избягване на използването на утилитата sudo, която използва suid-бит за повишаване на привилегиите. Вместо sudo, за изпълнение на команди с права root от обикновен потребител, се предлага да се използва утилитата ssh с локална връзка към същата система чрез UNIX-сокет и проверка на правата с SSH-ключове.

Използването на ssh вместо sudo позволява да се избегнат suid-програмите в системата и да се организира изпълнението на привилегировани команди в хост-среда на дистрибуции, използващи контейнерна изолация на компонентите, като Fedora Silverblue, Fedora Kinoite, Fedora Sericea и Fedora Onyx. За ограничаване на достъпа допълнително може да се включи потвърждение на правата чрез USB-токен (например, Yubikey).

Пример за настройка на сървърни компоненти на OpenSSH за достъп чрез локален Unix-сокет (ще се стартира отделен екземпляр на sshd със собствен конфигурационен файл):

/etc/systemd/system/sshd-unix.socket: [Unit] Description=OpenSSH Server Unix Socket Documentation=man:sshd(8) man:sshd_config(5) [Socket] ListenStream=/run/sshd.sock Accept=yes [Install] WantedBy=sockets.target

/etc/systemd/system/sshd-unix@.service: [Unit] Description=OpenSSH per-connection server daemon (Unix socket) Documentation=man:sshd(8) man:sshd_config(5) Wants=sshd-keygen.target After=sshd-keygen.target [Service] ExecStart=-/usr/sbin/sshd -i -f /etc/ssh/sshd_config_unix StandardInput=socket

/etc/ssh/sshd_config_unix: # Оставляет только аутентификацию по ключам PermitRootLogin prohibit-password PasswordAuthentication no PermitEmptyPasswords no GSSAPIAuthentication no # ограничиваем доступ выбранным пользователям AllowUsers root adminusername # Оставляем только использование .ssh/authorized_keys (без .ssh/authorized_keys2 AuthorizedKeysFile .ssh/authorized_keys # включаем sftp Subsystem sftp /usr/libexec/openssh/sftp-server

Активираме и стартираме юнита systemd: sudo systemctl daemon-reload sudo systemctl enable —now sshd-unix.socket

Добавяме своя SSH-ключ в /root/.ssh/authorized_keys

Настройваме работата на SSH-клиента.

Инсталираме утилитата socat: sudo dnf install socat

Допълваме /.ssh/config, указвайки socat като прокси за достъп през UNIX-сокет: Host host.local User root # Използваме /run/host/run вместо /run за работа от контейнери ProxyCommand socat — UNIX-CLIENT:/run/host/run/sshd.sock # Път към SSH-ключа IdentityFile ~/ .ssh/keys/localroot # Включваме поддръжка на TTY за интерактивна обвивка RequestTTY yes # Премахваме излишния изход LogLevel QUIET

В сегашния вид, потребителят adminusername сега може да изпълнява команди с права root без въвеждане на парола. Проверяваме работата: $ ssh host.local [root ~]#

Създаваме в bash псевдоним sudohost за стартиране на «ssh host.local» по аналогия с sudo: sudohost() { if [[ ${#} -eq 0 ]]; then ssh host.local «cd \”${PWD}\”»; exec \»${SHELL}\» —login» else ssh host.local «cd \”${PWD}\”»; exec \»${@}\»» fi }

Проверяваме: $ sudohost id uid=0(root) gid=0(root) groups=0(root)

Добавяме проверка на правата и включваме двуфакторна автентикация, допускаща достъп до root само при插ване на USB-токен Yubikey.

Проверяваме кои алгоритми поддържа наличният Yubikey: lsusb -v 2>/dev/null | grep -A2 Yubico | grep «bcdDevice» | awk ‘{print $2}’

Ако изходното значение е 5.2.3 или повече, използвайте ed25519-sk при генериране на ключове, в противен случай — ecdsa-sk: ssh-keygen -t ed25519-sk или ssh-keygen -t ecdsa-sk

Добавя публичния ключ в /root/.ssh/authorized_keys

Добавяме свързването на типа ключ в конфигурацията на sshd: /etc/ssh/sshd_config_unix: PubkeyAcceptedKeyTypes sk-ecdsa-sha2-nistp256@openssh.com,sk-ssh-ed25519@openssh.com

Ограничаваме достъпа до Unix-сокета само за потребителя, на когото може да се повишат привилегиите (в нашия пример — adminusername). В /etc/systemd/system/sshd-unix.socket добавяме: [Socket] … SocketUser=adminusername SocketGroup=adminusername SocketMode=0660

Източник: opennet.ru