{"id":55251,"date":"2020-01-16T00:00:00","date_gmt":"2020-01-15T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/fajlovye-razresheniya-v-linux"},"modified":"2020-02-18T14:03:21","modified_gmt":"2020-02-18T11:03:21","slug":"fajlovye-razresheniya-v-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/fajlovye-razresheniya-v-linux","title":{"rendered":"Permessi dei file in Linux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Ciao a tutti. Ci stiamo immergendo attivamente nel lavoro e gi\u00e0 a gennaio stiamo preparando molti importanti lanci. Tra gli altri, \u00e8 stato annunciato l'apertura di una nuova edizione del corso che tutti amano. \u00abAmministratore Linux\u00bb<\/a><\/noindex>. In vista del lancio, condividiamo tradizionalmente la traduzione di materiali utili.<\/i><\/p>\n

\"Permessi
\n<\/p>\n

Le autorizzazioni dei file offrono un'alternativa sicura ai file eseguibili SUID, ma possono sembrare un po' complicate a prima vista.<\/i><\/p><\/blockquote>\n

<\/a><\/noindex>
\nTutti noi sappiamo che i file binari SUID<\/a><\/noindex> i termini \"primary\/secondary\". sono una cattiva soluzione dal punto di vista della sicurezza.<\/a><\/noindex>Per fortuna, se la tua applicazione richiede alcune privilegiate limitate, c'\u00e8 un modo pi\u00f9 efficiente, noto come autorizzazioni dei file.<\/a><\/noindex>.<\/p>\n

Ti far\u00f2 risparmiare tempo se desideri evitare di leggere attentamente l'articolo sopra: essenzialmente, le autorizzazioni dei file consentono ai processi che vengono eseguiti con i diritti dell'utente root e, quindi, hanno il diritto di fare qualsiasi cosa, di mantenere determinate capacit\u00e0 limitate, delimitate da questo elenco<\/a><\/noindex>, quando rilasciano privilegi e vengono eseguiti come utente non privilegiato. Ci\u00f2 significa che se un attaccante riesce a compromettere un processo attraverso un attacco di buffer overflow o un altro exploit, non sar\u00e0 in grado di utilizzare altro se non le determinate minime autorizzazioni necessarie al processo.<\/p>\n

Le autorizzazioni sono ottime per servizi che di solito vengono sempre eseguiti con i diritti dell'utente root, ma che dire degli strumenti da riga di comando? Fortunatamente, questo \u00e8 altrettanto supportato a condizione che tu abbia gli strumenti appropriati installati. Se stai usando Ubuntu, ti servir\u00e0 ad esempio il pacchetto libcap2-bin<\/code>. Avrai anche bisogno di eseguire un kernel non obsoleto (a partire dalla versione 2.6.24<\/b>).<\/p>\n

). Queste funzionalit\u00e0 consentono di collegare autorizzazioni ai file eseguibili in modo simile alla configurazione del bit SUID, ma solo per un insieme specifico di autorizzazioni. L'utilit\u00e0 setcap<\/code> viene utilizzata per aggiungere e rimuovere autorizzazioni da un file.<\/p>\n

Il primo passo \u00e8 scegliere le autorizzazioni di cui hai bisogno. Per questo articolo, presumo che ci sia uno strumento di diagnosi di rete denominato tracewalk<\/code>, che dovrebbe essere in grado di utilizzare socket raw.<\/a><\/noindex>Di solito, per questo \u00e8 necessario che l'applicazione venga eseguita con i diritti dell'utente root, ma durante la revisione un elenco <\/a><\/noindex>si scopre che \u00e8 solo necessaria l'autorizzazione CAP_NET_RAW.<\/code>.<\/p>\n

Assumendo che tu sia nella directory in cui si trova il file binario tracewalk<\/code>, puoi aggiungere questa autorizzazione nel seguente modo:<\/p>\n

sudo setcap cap_net_raw=eip tracewalk<\/code><\/pre>\n
\nPer ora ignora il suffisso =eip<\/code> per l'autorizzazione, ne parler\u00f2 fra un paio di secondi. Nota che il nome dell'autorizzazione \u00e8 in minuscolo. Ora puoi controllare se hai configurato correttamente le autorizzazioni con:<\/p>\n
setcap -v cap_new_raw=eip tracewalk<\/code><\/pre>\n
\nOppure puoi elencare tutte le autorizzazioni impostate per il file eseguibile:<\/p>\n
getcap tracewalk\n<\/code><\/pre>\n
\nPer riferimento, puoi anche rimuovere tutte le autorizzazioni dal file eseguibile con:<\/p>\n
setcap -r tracewalk<\/code><\/pre>\n
\nA questo punto dovresti essere in grado di eseguire il file eseguibile come utente non privilegiato, e dovrebbe essere in grado di lavorare con socket raw, ma senza alcun altro privilegio di cui dispone l'utente root.<\/p>\n
Quindi, cosa significa questo strano suffisso =eip<\/code>? \u0417\u0434\u0435\u0441\u044c \u043f\u043e\u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f \u0442\u043e\u043b\u0438\u043a\u0430 \u043f\u043e\u043d\u0438\u043c\u0430\u043d\u0438\u044f \u043f\u0440\u0438\u0440\u043e\u0434\u044b \u0440\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0438\u0439. \u041a\u0430\u0436\u0434\u044b\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0438\u043c\u0435\u0435\u0442 \u0442\u0440\u0438 \u043d\u0430\u0431\u043e\u0440\u0430 \u0440\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0438\u0439 \u2014 effettive, ereditabili e disponibili (effective, inheritable e permitted)<\/i>:<\/p>\n