Използване на SSH върху UNIX сокет вместо sudo за избавяне от suid файлове

Тимоти Равье (Timothee Ravier) от компания Red Hat, мейнтейнер на проектите Fedora Silverblue и Fedora Kinoite, предложи начин за изоставяне на използването на утилита sudo, която използва suid-бит за повишаване на привилегиите. Вместо sudo, за изпълнение на команди с права root от обикновен потребител, предлага се да се използва утилита ssh с локално свързване към същата система чрез UNIX-сокет и проверка на правомощията на базата на SSH ключове.

Използването на ssh вместо sudo позволява да се избавим от suid-програмите в системата и да организираме изпълнението на привилегировани команди в хост среда на дистрибуции, използващи контейнерна изолация на компонентите, като Fedora Silverblue, Fedora Kinoite, Fedora Sericea и Fedora Onyx. За ограничаване на достъпа допълнително може да се използва потвърждение на правомощията с помощта на USB токен (например, Yubikey).

Пример за конфигуриране на сървърни компоненти OpenSSH за достъп през локален Unix-сокет (ще се пусне отделен екземпляр на sshd със собствен файл за конфигурация):

/etc/systemd/system/sshd-unix.socket: [Unit] Description=OpenSSH Server Unix Socket Documentation=man:sshd(8) man:sshd_config(5) [Socket] ListenStream=/run/sshd.sock Accept=yes [Install] WantedBy=sockets.target

/etc/systemd/system/sshd-unix@.service: [Unit] Description=OpenSSH per-connection server daemon (Unix socket) Documentation=man:sshd(8) man:sshd_config(5) Wants=sshd-keygen.target After=sshd-keygen.target [Service] ExecStart=-/usr/sbin/sshd -i -f /etc/ssh/sshd_config_unix StandardInput=socket

/etc/ssh/sshd_config_unix: # Оставляет только аутентификацию по ключам PermitRootLogin prohibit-password PasswordAuthentication no PermitEmptyPasswords no GSSAPIAuthentication no # ограничиваем доступ выбранным пользователям AllowUsers root adminusername # Оставляем только использование .ssh/authorized_keys (без .ssh/authorized_keys2 AuthorizedKeysFile .ssh/authorized_keys # включаем sftp Subsystem sftp /usr/libexec/openssh/sftp-server

Активираме и стартираме юнит systemd: sudo systemctl daemon-reload sudo systemctl enable —now sshd-unix.socket

Добавяме своя SSH ключ в /root/.ssh/authorized_keys

Конфигурираме работата на SSH клиента.

Инсталираме утилита socat: sudo dnf install socat

Допълваме /.ssh/config, посочвайки socat като прокси за достъп през UNIX-сокет: Host host.local User root # Използваме /run/host/run вместо /run за работа от контейнери ProxyCommand socat — UNIX-CLIENT:/run/host/run/sshd.sock # Път до SSH ключа IdentityFile ~/.ssh/keys/localroot # Включваме поддръжка на TTY за интерактивна черупка RequestTTY yes # Премахваме излишния изход LogLevel QUIET

В текущия вид потребителят adminusername сега може да изпълнява команди с права root без въвеждане на парола. Проверяваме работата: $ ssh host.local [root ~]#

Създаваме в bash псевдоним sudohost за стартиране на "ssh host.local" по аналогия с sudo: sudohost() { if [[ ${#} -eq 0 ]]; then ssh host.local "cd \"${PWD}\"; exec \"${SHELL}\" —login" else ssh host.local "cd \"${PWD}\"; exec \"${@}\"" fi }

Проверяваме: $ sudohost id uid=0(root) gid=0(root) groups=0(root)

Добавяме проверка на правомощията и включваме двуфакторна автентикация, допускаща достъп до root само при вмъкване на USB токен Yubikey.

Проверяваме какви алгоритми поддържа наличният Yubikey: lsusb -v 2>/dev/null | grep -A2 Yubico | grep "bcdDevice" | awk '{print $2}'

Ако е изведено 5.2.3 или по-голямо число, използваме ed25519-sk при генерирането на ключове, иначе — ecdsa-sk: ssh-keygen -t ed25519-sk или ssh-keygen -t ecdsa-sk

Добавя открития ключ в /root/.ssh/authorized_keys

Добавяме привързване към типа ключ в конфигурацията на sshd: /etc/ssh/sshd_config_unix: PubkeyAcceptedKeyTypes sk-ecdsa-sha2-nistp256@openssh.com,sk-ssh-ed25519@openssh.com

Ограничаваме достъпа до UNIX-сокета само на потребителя, който може да повишава привилегии (в нашия пример — adminusername). В /etc/systemd/system/sshd-unix.socket добавяме: [Socket] … SocketUser=adminusername SocketGroup=adminusername SocketMode=0660

Източник: opennet.ru