लिनक्स में फ़ाइल अनुमतियाँ

नमस्ते। हम सक्रिय रूप से काम में लग गए हैं और पहले से ही जनवरी में कई शक्तिशाली लॉन्च की तैयारी कर रहे हैं। अन्य बातों के अलावा, सभी के पसंदीदा पाठ्यक्रम की एक नई स्ट्रीम के लिए नामांकन की घोषणा की गई है। "लिनक्स प्रशासक". लॉन्च की प्रत्याशा में, हम परंपरागत रूप से उपयोगी सामग्री के अनुवाद साझा करते हैं।

फ़ाइल अनुमतियाँ SUID निष्पादनयोग्यों के लिए एक सुरक्षित विकल्प प्रदान करती हैं, लेकिन पहली बार में यह थोड़ा भ्रमित करने वाला लग सकता है।

हम सभी जानते हैं कि बायनेरिज़ SUID हैं सुरक्षा की दृष्टि से बुरा निर्णय. सौभाग्य से, यदि आपके एप्लिकेशन को कुछ सीमित विशेषाधिकारों की आवश्यकता है, तो एक अधिक कुशल तरीका कहा जाता है फ़ाइल अनुमतियाँ.

यदि आप उपरोक्त लेख को विस्तार से पढ़ने से बचना चाहते हैं तो मैं आपका कुछ समय बचाऊंगा: अनिवार्य रूप से, फ़ाइल अनुमतियाँ उन प्रक्रियाओं को अनुमति देती हैं जो रूट के रूप में चलती हैं और इसलिए उन्हें कुछ सीमित क्षमताओं को बनाए रखने के लिए कुछ करने की अनुमति होती है यह सूचीजब वे विशेषाधिकार छोड़ देते हैं और किसी विशेषाधिकार प्राप्त उपयोगकर्ता द्वारा चलाए जाते हैं। इसका मतलब यह है कि यदि कोई हमलावर बफर ओवरफ़्लो या अन्य शोषण का उपयोग करके किसी प्रक्रिया से समझौता करने का प्रबंधन करता है, तो वे कुछ न्यूनतम विशेषाधिकारों के अलावा किसी अन्य चीज़ का लाभ नहीं उठा पाएंगे जिनकी प्रक्रिया को वास्तव में आवश्यकता होती है।

अनुमतियाँ उन सेवाओं के लिए बहुत अच्छी हैं जो आमतौर पर हमेशा रूट के रूप में चलती हैं, लेकिन कमांड लाइन उपयोगिताओं के बारे में क्या? सौभाग्य से, यह भी समर्थित है बशर्ते आपके पास सही उपयोगिताएँ स्थापित हों। यदि आप उबंटू का उपयोग कर रहे हैं, तो उदाहरण के लिए आपको पैकेज की आवश्यकता होगी libcap2-bin. आपको एक गैर-पुरातन कर्नेल (संस्करण से) चलाने की भी आवश्यकता होगी 2.6.24).

ये फ़ंक्शन एसयूआईडी बिट सेट करने के समान, निष्पादन योग्य फ़ाइलों के साथ अनुमतियों को संबद्ध करने की अनुमति देते हैं, लेकिन केवल अनुमतियों के एक विशिष्ट सेट के लिए। उपयोगिता setcap किसी फ़ाइल से अनुमतियाँ जोड़ने और हटाने के लिए उपयोग किया जाता है।

पहला कदम आपको आवश्यक अनुमतियों का चयन करना है। इस लेख के लिए, मैं मान रहा हूं कि एक नेटवर्क डायग्नोस्टिक टूल है जिसे कहा जाता है tracewalk, जिसका उपयोग करने में सक्षम होना चाहिए कच्चे सॉकेट. इसके लिए आमतौर पर एप्लिकेशन को रूट के रूप में चलाने की आवश्यकता होती है, लेकिन देखते समय सूची यह पता चला कि केवल अनुमति की आवश्यकता है CAP_NET_RAW.

मान लीजिए कि आप उस निर्देशिका में हैं जहां बाइनरी स्थित है tracewalk, आप इस अनुमति को इस प्रकार जोड़ सकते हैं:

sudo setcap cap_net_raw=eip tracewalk

अभी के लिए प्रत्यय पर ध्यान न दें =eip समाधान के लिए, मैं कुछ सेकंड में इसके बारे में बात करूंगा। ध्यान दें कि अनुमति का नाम लोअरकेस में है। अब आप जांच सकते हैं कि क्या आपने अनुमतियाँ सही ढंग से कॉन्फ़िगर की हैं:

setcap -v cap_new_raw=eip tracewalk

या आप किसी दिए गए निष्पादन योग्य के लिए निर्धारित सभी अनुमतियों को सूचीबद्ध कर सकते हैं:

getcap tracewalk

संदर्भ के लिए, आप निष्पादन योग्य से सभी अनुमतियाँ भी हटा सकते हैं:

setcap -r tracewalk

इस बिंदु पर, आपको निष्पादन योग्य को एक विशेषाधिकार प्राप्त उपयोगकर्ता के रूप में चलाने में सक्षम होना चाहिए, और यह कच्चे सॉकेट के साथ काम करने में सक्षम होना चाहिए, लेकिन रूट उपयोगकर्ता के पास कोई अन्य विशेषाधिकार नहीं होना चाहिए।

तो इस अजीब प्रत्यय का क्या मतलब है? =eip? इसके लिए अनुमतियों की प्रकृति की कुछ समझ की आवश्यकता है। प्रत्येक प्रक्रिया में अनुमतियों के तीन सेट होते हैं - प्रभावी, अंतर्निहित और अनुमत:

• असरदार अनुमतियाँ वे हैं जो परिभाषित करती हैं कि कोई प्रक्रिया वास्तव में क्या कर सकती है। उदाहरण के लिए, यह कच्चे सॉकेट से नहीं निपट सकता यदि CAP_NET_RAW प्रभावी सेट में नहीं है.
• उपलब्ध अनुमतियाँ वे हैं जो एक प्रक्रिया को प्राप्त करने की अनुमति है यदि वह उचित कॉल का उपयोग करके उनसे अनुरोध करती है। वे किसी प्रक्रिया को वास्तव में कुछ भी करने से रोकते हैं जब तक कि यह विशेष रूप से उक्त अनुमति के अनुरोध के लिए नहीं लिखा गया हो। यह प्रक्रियाओं को प्रभावी सेट में महत्वपूर्ण अनुमतियाँ जोड़ने के लिए केवल उस अवधि के लिए लिखने की अनुमति देता है जब उनकी वास्तव में आवश्यकता होती है।
• दाय अनुमतियाँ वे हैं जिन्हें स्पॉन्ड चाइल्ड प्रक्रिया के सुलभ सेट में विरासत में प्राप्त किया जा सकता है। सर्जरी के दौरान fork() या clone() चाइल्ड प्रक्रिया को हमेशा मूल प्रक्रिया की अनुमतियों की एक प्रति दी जाती है क्योंकि उस बिंदु पर यह अभी भी वही निष्पादन योग्य चल रहा है। एक इनहेरिटेबल सेट का उपयोग कब किया जाता है exec() (या समतुल्य) को निष्पादन योग्य फ़ाइल को दूसरे के साथ बदलने के लिए कहा जाता है। इस बिंदु पर, प्रक्रिया के उपलब्ध सेट को सुलभ सेट प्राप्त करने के लिए इनहेरिटेबल सेट द्वारा छुपाया जाता है जिसका उपयोग नई प्रक्रिया के लिए किया जाएगा।

तो उपयोगिता setcap हमें किसी दिए गए निष्पादन योग्य के लिए इन तीन सेटों की अनुमतियों को स्वतंत्र रूप से जोड़ने की अनुमति देता है। ध्यान दें कि फ़ाइल अनुमतियों के लिए समूहों का अर्थ थोड़ा अलग तरीके से समझा जाता है:

• उपलब्ध फ़ाइल अनुमतियाँ वे हैं जो किसी निष्पादन योग्य फ़ाइल के लिए हमेशा उपलब्ध होती हैं, भले ही इसे कॉल करने वाली मूल प्रक्रिया में वे न हों। उन्हें "मजबूर" परमिट कहा जाता था।
• विरासत में मिला फ़ाइल अनुमतियाँ एक अतिरिक्त मास्क को परिभाषित करती हैं जिसका उपयोग कॉलिंग प्रक्रिया के सेट से अनुमतियाँ हटाने के लिए भी किया जा सकता है। वे कॉलिंग प्रक्रिया के इनहेरिट किए गए सेट के अतिरिक्त लागू होते हैं, इसलिए अनुमति केवल तभी इनहेरिट की जाती है जब यह दोनों सेटों में मौजूद हो।
• असरदार फ़ाइल अनुमतियाँ वास्तव में केवल एक बिट है, एक सेट नहीं, और यदि सेट है, तो इसका मतलब है कि संपूर्ण उपलब्ध सेट भी नई प्रक्रिया के प्रभावी सेट में कॉपी किया गया है। इसका उपयोग उन प्रक्रियाओं में अनुमतियाँ जोड़ने के लिए किया जा सकता है जिन्हें विशेष रूप से अनुरोध करने के लिए नहीं लिखा गया था। चूँकि यह एक बिट है, यदि आप इसे किसी अनुमति के लिए सेट करते हैं, तो इसे सभी अनुमतियों के लिए सेट किया जाना चाहिए। आप इसे एक विरासत बिट के रूप में सोच सकते हैं क्योंकि इसका उपयोग उन अनुप्रयोगों द्वारा उपयोग की जाने वाली अनुमतियों की अनुमति देने के लिए किया जाता है जो उनका समर्थन नहीं करते हैं।

के माध्यम से अनुमतियाँ निर्दिष्ट करते समय setcap तीन पत्र e, i и p का उल्लेख प्रभावी, अंतर्निहित और सुलभ क्रमशः सेट. तो, पहले वाला विवरण:

sudo setcap cap_net_raw=eip tracewalk

...इंगित करता है कि संकल्प CAP_NET_RAW उपलब्ध और अंतर्निहित सेटों में जोड़ा जाना चाहिए और प्रभावी बिट भी सेट किया जाना चाहिए। यह फ़ाइल पर पहले से सेट की गई किसी भी अनुमति को ओवरराइड कर देगा। एक साथ अनेक अनुमतियाँ सेट करने के लिए, अल्पविराम से अलग की गई सूची का उपयोग करें:

sudo setcap cap_net_admin,cap_net_raw=eip tracewalk

अनुमतियाँ मार्गदर्शिका इस सब पर अधिक विस्तार से चर्चा करता है, लेकिन उम्मीद है कि इस पोस्ट ने जो कुछ चल रहा है उसे थोड़ा सा स्पष्ट कर दिया है। उल्लेख करने के लिए केवल कुछ चेतावनियाँ और तरकीबें बची हैं।

सबसे पहले, फ़ाइल क्षमताएं सिम्लिंक के साथ काम नहीं करती हैं - आपको उन्हें बाइनरी फ़ाइल पर ही लागू करना होगा (यानी सिम्लिंक का लक्ष्य)।

दूसरे, वे व्याख्या की गई स्क्रिप्ट के साथ काम नहीं करते हैं। उदाहरण के लिए, यदि आपके पास एक पायथन स्क्रिप्ट है जिसे आप अनुमति देना चाहते हैं, तो आपको इसे पायथन दुभाषिया को ही सौंपना होगा। जाहिर तौर पर यह एक संभावित सुरक्षा मुद्दा है क्योंकि तब उस दुभाषिया के साथ निष्पादित सभी स्क्रिप्ट के पास निर्दिष्ट अनुमति होगी, हालांकि यह अभी भी इसे SUID बनाने से काफी बेहतर है। सबसे आम समाधान सी या समकक्ष में एक अलग निष्पादन योग्य लिखना प्रतीत होता है जो आवश्यक संचालन कर सकता है और इसे स्क्रिप्ट से कॉल कर सकता है। यह वायरशार्क द्वारा उपयोग किए गए दृष्टिकोण के समान है जो बाइनरी का उपयोग करता है /usr/bin/dumpcap विशेषाधिकार प्राप्त संचालन करने के लिए:

$ getcap /usr/bin/dumpcap 
/usr/bin/dumpcap = cap_net_admin,cap_net_raw+eip

तीसरा, यदि आप पर्यावरण चर का उपयोग करते हैं तो फ़ाइल अनुमतियाँ अक्षम हो जाती हैं LD_LIBRARY_PATH स्पष्ट सुरक्षा कारणों से(1). वही लागू होता है LD_PRELOAD, जहां तक ​​मुझे मालूम है।

1. चूंकि एक हमलावर स्पष्ट रूप से मानक पुस्तकालयों में से किसी एक को बदल सकता है और उपयोग कर सकता है LD_LIBRARY_PATHअपनी लाइब्रेरी को सिस्टम वन की तुलना में प्राथमिकता के आधार पर कॉल करने के लिए मजबूर करना, और इसलिए कॉलिंग एप्लिकेशन के समान विशेषाधिकारों के साथ अपना स्वयं का मनमाना कोड निष्पादित करना है।

बस इतना ही। पाठ्यक्रम कार्यक्रम के बारे में अधिक जानकारी यहां पाई जा सकती है वेबिनार, जो 24 जनवरी को होगा।

स्रोत: www.habr.com