Разрешения за файлове в Linux

Здравейте всички. Активно се захващаме с работа и вече подготвяме много мощни стартове през януари. Наред с другото е обявено записване за нов поток от любимия на всички курс. „Linux администратор“. В очакване на старта традиционно споделяме преводи на полезни материали.

Разрешенията за файлове предлагат безопасна алтернатива на SUID изпълнимите файлове, но в началото може да изглеждат малко объркващи.

Всички знаем, че двоичните файлове SUID са лошо решение от гледна точка на сигурността. За щастие, ако вашето приложение изисква някои ограничени привилегии, има по-ефективен начин, наречен разрешения за файлове.

Ще ви спестя малко време, ако искате да избегнете подробното четене на статията по-горе: По същество разрешенията за файлове позволяват процеси, които се изпълняват като root и следователно имат право да правят нещо, за да запазят определени възможности, ограничени този списъккогато изпуснат привилегии и се управляват от непривилегирован потребител. Това означава, че ако атакуващ успее да компрометира процес, използвайки препълване на буфер или друг експлойт, той няма да може да се възползва от нищо друго освен определени минимални привилегии, от които процесът действително се нуждае.

Разрешенията са чудесни за услуги, които обикновено винаги се изпълняват като root, но какво ще кажете за помощните програми за командния ред? За щастие, това също се поддържа, при условие че имате инсталирани правилните помощни програми. Ако използвате Ubuntu, ще имате нужда например от пакета libcap2-bin. Ще трябва също така да стартирате неархаично ядро ​​(от версия 2.6.24).

Тези функции позволяват разрешенията да бъдат свързани с изпълними файлове, подобно на настройката на SUID бита, но само за конкретен набор от разрешения. полезност setcap използва се за добавяне и премахване на разрешения от файл.

Първата стъпка е да изберете разрешенията, от които се нуждаете. За целите на тази статия предполагам, че има инструмент за мрежова диагностика, наречен tracewalk, които трябва да могат да използват необработени гнезда. Това обикновено изисква приложението да се стартира като root, но при преглед списъка оказва се, че се изисква само разрешение CAP_NET_RAW.

Ако приемем, че сте в директорията, където се намира двоичният файл tracewalk, можете да добавите това разрешение по следния начин:

sudo setcap cap_net_raw=eip tracewalk

Игнорирайте суфикса засега =eip за решение, ще говоря за това след няколко секунди. Имайте предвид, че името на разрешението е с малки букви. Вече можете да проверите дали сте конфигурирали правилно разрешенията с:

setcap -v cap_new_raw=eip tracewalk

Или можете да изброите всички разрешения, зададени за даден изпълним файл:

getcap tracewalk

За справка можете също да премахнете всички разрешения от изпълнимия файл с:

setcap -r tracewalk

В този момент трябва да можете да стартирате изпълнимия файл като непривилегирован потребител и той трябва да може да работи с необработени сокети, но да няма други привилегии, които root потребителят има.

И така, какво означава този странен суфикс? =eip? Това изисква известно разбиране на естеството на разрешенията. Всеки процес има три набора от разрешения − ефективни, наследими и разрешени:

• Ефективен Разрешенията са тези, които определят какво всъщност може да прави даден процес. Например, не може да се справи с необработени сокети, ако CAP_NET_RAW не е в ефективния комплект.
• На разположение разрешенията са тези, които процесът може да има, ако ги поиска чрез съответното извикване. Те не позволяват на даден процес действително да прави каквото и да било, освен ако не е изрично написано да поиска споменатото разрешение. Това позволява процесите да бъдат написани за добавяне на критични разрешения към ефективния набор само за периода, когато те действително са необходими.
• Наследствени разрешенията са тези, които могат да бъдат наследени в достъпния набор на породения дъщерен процес. По време на операция fork() или clone() дъщерният процес винаги получава копие от разрешенията на родителския процес, тъй като той все още изпълнява същия изпълним файл в този момент. Наследяем набор се използва, когато exec() (или еквивалент) се извиква, за да замени изпълнимия файл с друг. В този момент наличният набор на процеса се маскира от наследяемия набор, за да се получи достъпният набор, който ще се използва за новия процес.

Така че полезността setcap ни позволява да добавим разрешенията на тези три набора независимо за даден изпълним файл. Имайте предвид, че значението на групите се тълкува малко по-различно за разрешенията за файлове:

• На разположение файловите разрешения са тези, които винаги са достъпни за изпълним файл, дори ако родителският процес, който го е извикал, не ги е имал. Преди се наричаха „принудителни“ разрешителни.
• Наследени разрешенията за файлове дефинират допълнителна маска, която може да се използва и за премахване на разрешения от набора на извикващия процес. Те се прилагат в допълнение към наследения набор на извикващия процес, така че разрешението се наследява само ако съществува и в двата набора.
• Ефективно разрешенията за файлове всъщност са само един бит, а не набор, и ако са зададени, това означава, че целият наличен набор също се копира в ефективния набор на новия процес. Това може да се използва за добавяне на разрешения към процеси, които не са специално написани, за да ги изискват. Тъй като е един бит, ако го зададете за което и да е разрешение, то трябва да бъде зададено за всички разрешения. Можете да мислите за него като за наследен бит, защото се използва, за да позволи на разрешенията да се използват от приложения, които не ги поддържат.

Когато посочвате разрешения чрез setcap три букви e, i и p се отнасят за ефективен, наследим и достъпен комплекти съответно. И така, по-ранната спецификация:

sudo setcap cap_net_raw=eip tracewalk

...показва, че резолюцията CAP_NET_RAW трябва да се добави към наличните и наследими набори и че ефективният бит също трябва да бъде зададен. Това ще замени всички предварително зададени разрешения за файла. За да зададете няколко разрешения наведнъж, използвайте списък, разделен със запетаи:

sudo setcap cap_net_admin,cap_net_raw=eip tracewalk

Ръководство за разрешения обсъжда всичко това по-подробно, но се надяваме, че тази публикация е демистифицирала малко случващото се. Остават да се споменат само няколко предупреждения и трикове.

Първо, възможностите на файла не работят със символни връзки - трябва да ги приложите към самия двоичен файл (т.е. целта на символната връзка).

Второ, те не работят с интерпретирани скриптове. Например, ако имате скрипт на Python, на който искате да зададете разрешение, трябва да го зададете на самия интерпретатор на Python. Очевидно това е потенциален проблем със сигурността, защото тогава всички скриптове, изпълнявани с този интерпретатор, ще имат определеното разрешение, въпреки че това все още е значително по-добро от това да го направите SUID. Най-често срещаното решение изглежда е да се напише отделен изпълним файл на C или еквивалентен, който може да изпълнява необходимите операции и да го извиква от скрипт. Това е подобно на подхода, използван от Wireshark, който използва двоичен файл /usr/bin/dumpcap за извършване на привилегировани операции:

$ getcap /usr/bin/dumpcap 
/usr/bin/dumpcap = cap_net_admin,cap_net_raw+eip

Трето, разрешенията за файлове са деактивирани, ако използвате променлива на средата LD_LIBRARY_PATH поради очевидни съображения за сигурност(1). Същото важи и за LD_PRELOAD, доколкото знам.

1. Тъй като нападателят очевидно може да замени една от стандартните библиотеки и да използва LD_LIBRARY_PATHда принуди неговата библиотека да бъде извикана с предпочитание пред системната и следователно да има собствен произволен код, изпълняван със същите привилегии като извикващото приложение.

Това е всичко. Повече подробности за програмата на курса можете да намерите на уебинар, който ще се проведе на 24 януари.

Източник: www.habr.com