লিনাক্সে ফাইলের অনুমতি

হাই সব. আমরা সক্রিয়ভাবে কাজ শুরু করছি এবং ইতিমধ্যে জানুয়ারিতে অনেক শক্তিশালী লঞ্চের প্রস্তুতি নিচ্ছি। অন্যদের মধ্যে, সবার প্রিয় কোর্সের একটি নতুন স্ট্রিমের জন্য তালিকাভুক্তির ঘোষণা করা হয়েছে। "লিনাক্স প্রশাসক". লঞ্চের প্রত্যাশায়, আমরা ঐতিহ্যগতভাবে দরকারী উপাদানের অনুবাদ শেয়ার করি।

ফাইল অনুমতিগুলি SUID এক্সিকিউটেবলগুলির একটি নিরাপদ বিকল্প অফার করে, তবে প্রথমে কিছুটা বিভ্রান্তিকর বলে মনে হতে পারে।

আমরা সবাই যে বাইনারি জানি দক্ষিণ হয় নিরাপত্তা দৃষ্টিকোণ থেকে খারাপ সিদ্ধান্ত. সৌভাগ্যবশত, যদি আপনার আবেদনের জন্য কিছু সীমিত সুযোগ-সুবিধা প্রয়োজন হয়, তাহলে আরও কার্যকর উপায় আছে ফাইল অনুমতি.

যদি আপনি উপরের নিবন্ধটি বিস্তারিতভাবে পড়া এড়াতে চান তবে আমি আপনার কিছু সময় বাঁচাব: মূলত, ফাইলের অনুমতিগুলি সেই প্রক্রিয়াগুলিকে অনুমতি দেয় যা রুট হিসাবে চলে এবং তাই নির্দিষ্ট ক্ষমতাগুলি ধরে রাখার জন্য কিছু করার অনুমতি দেওয়া হয়, সীমিত এই তালিকাযখন তারা সুযোগ-সুবিধা ত্যাগ করে এবং কোন সুবিধাবিহীন ব্যবহারকারী দ্বারা চালিত হয়। এর মানে হল যে যদি একজন আক্রমণকারী একটি বাফার ওভারফ্লো বা অন্যান্য শোষণ ব্যবহার করে একটি প্রক্রিয়ার সাথে আপস করতে পরিচালনা করে, তবে তারা নির্দিষ্ট ন্যূনতম সুযোগ-সুবিধাগুলি ছাড়া অন্য কিছুর সুবিধা নিতে সক্ষম হবে না যা প্রক্রিয়াটির আসলে প্রয়োজন।

অনুমতিগুলি এমন পরিষেবাগুলির জন্য দুর্দান্ত যা সাধারণত সর্বদা রুট হিসাবে চলে তবে কমান্ড লাইন ইউটিলিটিগুলির কী হবে? ভাগ্যক্রমে, এটিও সমর্থিত যদি আপনার সঠিক ইউটিলিটি ইনস্টল থাকে। আপনি যদি উবুন্টু ব্যবহার করেন, তাহলে আপনাকে প্যাকেজের প্রয়োজন হবে libcap2-bin. আপনাকে একটি অ-প্রাচীন কার্নেলও চালাতে হবে (সংস্করণ থেকে 2.6.24).

এই ফাংশনগুলি এক্সিকিউটেবল ফাইলগুলির সাথে যুক্ত করার অনুমতি দেয়, SUID বিট সেট করার মতো, কিন্তু শুধুমাত্র অনুমতিগুলির একটি নির্দিষ্ট সেটের জন্য। ইউটিলিটি setcap একটি ফাইল থেকে অনুমতি যোগ করতে এবং অপসারণ করতে ব্যবহৃত হয়।

প্রথম ধাপ হল আপনার প্রয়োজনীয় অনুমতি নির্বাচন করা। এই নিবন্ধটির খাতিরে, আমি ধরে নিচ্ছি যে একটি নেটওয়ার্ক ডায়াগনস্টিক টুল আছে tracewalk, যা ব্যবহার করতে সক্ষম হওয়া উচিত কাঁচা সকেট. এটি সাধারণত অ্যাপ্লিকেশনটিকে রুট হিসাবে চালানোর প্রয়োজন হয়, কিন্তু দেখার সময় তালিকা এটা দেখা যাচ্ছে যে শুধুমাত্র অনুমতি প্রয়োজন CAP_NET_RAW.

ধরে নিচ্ছি আপনি যে ডিরেক্টরিতে বাইনারি অবস্থিত সেখানে আছেন tracewalk, আপনি এই মত এই অনুমতি যোগ করতে পারেন:

sudo setcap cap_net_raw=eip tracewalk

আপাতত প্রত্যয়টি উপেক্ষা করুন =eip সমাধানের জন্য, আমি কয়েক সেকেন্ডের মধ্যে এটি সম্পর্কে কথা বলব। নোট করুন যে অনুমতির নাম ছোট হাতের অক্ষরে আছে। আপনি এখন এর সাথে সঠিকভাবে অনুমতি কনফিগার করেছেন কিনা তা পরীক্ষা করতে পারেন:

setcap -v cap_new_raw=eip tracewalk

অথবা আপনি প্রদত্ত এক্সিকিউটেবলের জন্য সেট করা সমস্ত অনুমতি তালিকা করতে পারেন:

getcap tracewalk

রেফারেন্সের জন্য, আপনি এর সাথে এক্সিকিউটেবল থেকে সমস্ত অনুমতি মুছে ফেলতে পারেন:

setcap -r tracewalk

এই মুহুর্তে, আপনি একটি সুবিধাহীন ব্যবহারকারী হিসাবে এক্সিকিউটেবল চালাতে সক্ষম হওয়া উচিত এবং এটি কাঁচা সকেটের সাথে কাজ করতে সক্ষম হওয়া উচিত, তবে রুট ব্যবহারকারীর কাছে থাকা অন্যান্য সুযোগ-সুবিধা নেই।

তাই এই অদ্ভুত প্রত্যয় মানে কি? =eip? এর জন্য অনুমতির প্রকৃতি সম্পর্কে কিছু বোঝার প্রয়োজন। প্রতিটি প্রক্রিয়ার অনুমতির তিনটি সেট রয়েছে - কার্যকর, উত্তরাধিকারসূত্রে প্রাপ্ত এবং অনুমোদিত:

• কার্যকরী অনুমতিগুলি হল সেইগুলি যা সংজ্ঞায়িত করে যে একটি প্রক্রিয়া আসলে কী করতে পারে। উদাহরণস্বরূপ, এটা কাঁচা সকেট সঙ্গে মোকাবিলা করতে পারে না যদি CAP_NET_RAW কার্যকরী সেটে নেই।
• পাওয়া যায় অনুমতিগুলি হল সেইগুলি যা একটি প্রক্রিয়াকে অনুমতি দেওয়া হয় যদি এটি উপযুক্ত কল ব্যবহার করে তাদের অনুরোধ করে। তারা একটি প্রক্রিয়াকে আসলে কিছু করতে বাধা দেয় যদি না এটি নির্দিষ্টভাবে অনুমতির অনুরোধ করার জন্য লেখা হয়। এটি কার্যকরী সেটে সমালোচনামূলক অনুমতি যোগ করার জন্য প্রক্রিয়াগুলিকে শুধুমাত্র সেই সময়ের জন্য লেখার অনুমতি দেয় যখন সেগুলি প্রকৃতপক্ষে প্রয়োজন হয়।
• উত্তরাধিকারসূত্রে পাওয়া যায় অনুমতিগুলি হল সেইগুলি যা উৎপন্ন শিশু প্রক্রিয়ার অ্যাক্সেসযোগ্য সেটে উত্তরাধিকারসূত্রে পাওয়া যেতে পারে। অস্ত্রোপচারের সময় fork() বা clone() চাইল্ড প্রক্রিয়াটিকে সর্বদা পিতামাতার প্রক্রিয়ার অনুমতিগুলির একটি অনুলিপি দেওয়া হয় যেহেতু এটি এখনও সেই সময়ে একই এক্সিকিউটেবল চলছে। একটি উত্তরাধিকারী সেট ব্যবহার করা হয় যখন exec() (বা সমতুল্য) বলা হয় এক্সিকিউটেবল ফাইলটিকে অন্যটির সাথে প্রতিস্থাপন করতে। এই মুহুর্তে, প্রক্রিয়াটির উপলব্ধ সেটটি নতুন প্রক্রিয়ার জন্য ব্যবহার করা হবে এমন অ্যাক্সেসযোগ্য সেট পেতে উত্তরাধিকারসূত্রে প্রাপ্ত সেট দ্বারা মুখোশ করা হয়।

তাই ইউটিলিটি setcap প্রদত্ত এক্সিকিউটেবলের জন্য স্বাধীনভাবে এই তিনটি সেটের অনুমতি যোগ করার অনুমতি দেয়। নোট করুন যে ফাইলের অনুমতিগুলির জন্য গ্রুপগুলির অর্থ সামান্য ভিন্নভাবে ব্যাখ্যা করা হয়েছে:

• সহজলভ্য ফাইলের অনুমতিগুলি হল সেইগুলি যেগুলি সর্বদা একটি এক্সিকিউটেবল ফাইলের জন্য উপলব্ধ থাকে, এমনকি যদি প্যারেন্ট প্রক্রিয়া যা এটিকে বলে তার কাছে সেগুলি না থাকলেও৷ তাদের "জোর করে" পারমিট বলা হত।
• উত্তরাধিকারসূত্রে প্রাপ্ত ফাইল অনুমতি একটি অতিরিক্ত মাস্ক সংজ্ঞায়িত করে যা কলিং প্রক্রিয়ার সেট থেকে অনুমতিগুলি সরাতেও ব্যবহার করা যেতে পারে। তারা কলিং প্রক্রিয়ার উত্তরাধিকারসূত্রে প্রাপ্ত সেট ছাড়াও আবেদন করে, তাই অনুমতিটি কেবলমাত্র উত্তরাধিকার সূত্রে পাওয়া যায় যদি এটি উভয় সেটেই বিদ্যমান থাকে।
• কার্যকরী ফাইল অনুমতি আসলে শুধুমাত্র একটি একক বিট, একটি সেট নয়, এবং যদি সেট করা হয়, তাহলে এর মানে হল যে পুরো উপলব্ধ সেটটি নতুন প্রক্রিয়ার কার্যকর সেটে অনুলিপি করা হয়েছে। এটি এমন প্রক্রিয়াগুলিতে অনুমতি যোগ করতে ব্যবহার করা যেতে পারে যেগুলি বিশেষভাবে তাদের অনুরোধ করার জন্য লেখা হয়নি। যেহেতু এটি এক বিট, আপনি যদি এটি কোনও অনুমতির জন্য সেট করেন তবে এটি অবশ্যই সমস্ত অনুমতির জন্য সেট করা উচিত। আপনি এটিকে একটি লিগ্যাসি বিট হিসাবে ভাবতে পারেন কারণ এটি তাদের সমর্থন করে না এমন অ্যাপ্লিকেশনগুলির দ্বারা ব্যবহারের অনুমতি দেওয়ার জন্য ব্যবহার করা হয়৷

এর মাধ্যমে অনুমতি নির্দিষ্ট করার সময় setcap তিনটি অক্ষর e, i и p সম্পর্কিত কার্যকর, উত্তরাধিকারসূত্রে এবং অ্যাক্সেসযোগ্য যথাক্রমে সেট করে। সুতরাং, আগের স্পেসিফিকেশন:

sudo setcap cap_net_raw=eip tracewalk

...ইঙ্গিত করে যে রেজোলিউশন CAP_NET_RAW উপলব্ধ এবং উত্তরাধিকারসূত্রে পাওয়া সেটে যোগ করতে হবে এবং কার্যকরী বিটও সেট করতে হবে। এটি ফাইলে পূর্বে সেট করা যেকোনো অনুমতিকে ওভাররাইড করবে। একবারে একাধিক অনুমতি সেট করতে, একটি কমা দ্বারা পৃথক করা তালিকা ব্যবহার করুন:

sudo setcap cap_net_admin,cap_net_raw=eip tracewalk

অনুমতি নির্দেশিকা আরো বিস্তারিতভাবে এই সব আলোচনা, কিন্তু আশা করি এই পোস্ট সামান্য কি ঘটছে demystified হয়েছে. উল্লেখ করার জন্য শুধুমাত্র কয়েকটি সতর্কতা এবং কৌশল বাকি আছে।

প্রথমত, ফাইলের ক্ষমতা সিমলিংকের সাথে কাজ করে না - আপনাকে সেগুলি বাইনারি ফাইলে প্রয়োগ করতে হবে (অর্থাৎ সিমলিংকের লক্ষ্য)।

দ্বিতীয়ত, তারা ব্যাখ্যা করা স্ক্রিপ্টগুলির সাথে কাজ করে না। উদাহরণস্বরূপ, যদি আপনার কাছে একটি পাইথন স্ক্রিপ্ট থাকে যা আপনি অনুমতি দিতে চান, তাহলে আপনাকে অবশ্যই এটি পাইথন ইন্টারপ্রেটারের কাছে বরাদ্দ করতে হবে। স্পষ্টতই এটি একটি সম্ভাব্য নিরাপত্তা সমস্যা কারণ তখন সেই দোভাষীর সাথে সম্পাদিত সমস্ত স্ক্রিপ্টের নির্দিষ্ট অনুমতি থাকবে, যদিও এটি এখনও এটিকে SUID করার চেয়ে উল্লেখযোগ্যভাবে ভাল। সবচেয়ে সাধারণ সমাধান হল সি বা সমতুল্য একটি পৃথক এক্সিকিউটেবল লেখা যা প্রয়োজনীয় ক্রিয়াকলাপ সম্পাদন করতে পারে এবং এটি একটি স্ক্রিপ্ট থেকে কল করতে পারে। এটি Wireshark দ্বারা ব্যবহৃত পদ্ধতির অনুরূপ যা একটি বাইনারি ব্যবহার করে /usr/bin/dumpcap বিশেষ সুবিধাপ্রাপ্ত ক্রিয়াকলাপ সম্পাদন করতে:

$ getcap /usr/bin/dumpcap 
/usr/bin/dumpcap = cap_net_admin,cap_net_raw+eip

তৃতীয়ত, যদি আপনি একটি পরিবেশ পরিবর্তনশীল ব্যবহার করেন তাহলে ফাইলের অনুমতি নিষ্ক্রিয় করা হয় LD_LIBRARY_PATH সুস্পষ্ট নিরাপত্তা কারণে(1). একই প্রযোজ্য LD_PRELOAD, যতদুর আমি জানি.

1. যেহেতু একজন আক্রমণকারী স্পষ্টতই স্ট্যান্ডার্ড লাইব্রেরিগুলির একটি প্রতিস্থাপন করতে পারে এবং ব্যবহার করতে পারে LD_LIBRARY_PATHএটির লাইব্রেরিটিকে সিস্টেম ওয়ানকে প্রাধান্য দিয়ে কল করতে বাধ্য করতে, এবং সেইজন্য কলিং অ্যাপ্লিকেশনের মতো একই সুযোগ-সুবিধা সহ এর নিজস্ব স্বেচ্ছাচারী কোড কার্যকর করতে হবে।

এখানেই শেষ. কোর্স প্রোগ্রাম সম্পর্কে আরো বিস্তারিত পাওয়া যাবে ওয়েবিনার, যা 24 জানুয়ারী অনুষ্ঠিত হবে।

উত্স: www.habr.com