ការអនុញ្ញាតឯកសារនៅក្នុងលីនុច

សួស្តី​អ្នក​ទាំងអស់គ្នា។ យើងកំពុងដំណើរការយ៉ាងសកម្ម ហើយកំពុងរៀបចំការបើកដំណើរការដ៏មានឥទ្ធិពលជាច្រើនរួចហើយនៅក្នុងខែមករា។ ក្នុងចំណោមអ្នកផ្សេងទៀត ការចុះឈ្មោះត្រូវបានប្រកាសសម្រាប់ការផ្សាយថ្មីនៃវគ្គសិក្សាដែលមនុស្សគ្រប់គ្នាចូលចិត្ត។ "អ្នកគ្រប់គ្រងលីនុច". នៅក្នុងការរំពឹងទុកនៃការចាប់ផ្តើមនេះ យើងចែករំលែកការបកប្រែជាប្រពៃណីនៃសម្ភារៈដែលមានប្រយោជន៍។

ការអនុញ្ញាតឯកសារផ្តល់នូវជម្រើសសុវត្ថិភាពមួយចំពោះ SUID ដែលអាចប្រតិបត្តិបាន ប៉ុន្តែអាចហាក់ដូចជាមានការភ័ន្តច្រឡំបន្តិចនៅពេលដំបូង។

យើងទាំងអស់គ្នាដឹងថាប្រព័ន្ធគោលពីរ ខាងត្បូង គឺ ការសម្រេចចិត្តមិនល្អតាមទស្សនៈសុវត្ថិភាព. ជាសំណាងល្អ ប្រសិនបើពាក្យសុំរបស់អ្នកទាមទារសិទ្ធិមានកំណត់មួយចំនួន មានវិធីដែលមានប្រសិទ្ធភាពជាងនេះហៅថា ការអនុញ្ញាតឯកសារ.

ខ្ញុំនឹងសន្សំពេលវេលាខ្លះឱ្យអ្នក ប្រសិនបើអ្នកចង់ជៀសវាងការអានអត្ថបទខាងលើដោយលម្អិត៖ សំខាន់ ការអនុញ្ញាតឯកសារអនុញ្ញាតឱ្យដំណើរការដែលដំណើរការជា root ហើយដូច្នេះត្រូវបានអនុញ្ញាតឱ្យធ្វើអ្វីមួយដើម្បីរក្សាសមត្ថភាពជាក់លាក់។ បញ្ជីនេះ។នៅពេលដែលពួកគេទម្លាក់សិទ្ធិ ហើយដំណើរការដោយអ្នកប្រើប្រាស់ដែលគ្មានសិទ្ធិ។ នេះមានន័យថា ប្រសិនបើអ្នកវាយប្រហារគ្រប់គ្រងដើម្បីសម្របសម្រួលដំណើរការដោយប្រើប្រាស់ buffer overflow ឬការកេងប្រវ័ញ្ចផ្សេងទៀត ពួកគេនឹងមិនអាចទាញយកអត្ថប្រយោជន៍ពីអ្វីផ្សេងទៀតក្រៅពីសិទ្ធិតិចតួចជាក់លាក់ដែលដំណើរការពិតជាត្រូវការនោះទេ។

ការអនុញ្ញាតគឺអស្ចារ្យសម្រាប់សេវាកម្មដែលជាធម្មតាតែងតែដំណើរការជា root ប៉ុន្តែចុះយ៉ាងណាចំពោះឧបករណ៍ប្រើប្រាស់បន្ទាត់ពាក្យបញ្ជា? សំណាងល្អ វាត្រូវបានគាំទ្រផងដែរ ដែលអ្នកបានដំឡើងឧបករណ៍ប្រើប្រាស់ត្រឹមត្រូវ។ ប្រសិនបើអ្នកកំពុងប្រើអ៊ូប៊ុនទូ អ្នកនឹងត្រូវការកញ្ចប់ជាឧទាហរណ៍ libcap2-bin. អ្នកក៏នឹងត្រូវដំណើរការខឺណែលដែលមិនមែនជាបុរាណ (ពីកំណែ 2.6.24).

មុខងារទាំងនេះអនុញ្ញាតឱ្យមានការអនុញ្ញាតឱ្យភ្ជាប់ជាមួយឯកសារដែលអាចប្រតិបត្តិបាន ស្រដៀងនឹងការកំណត់ SUID bit ប៉ុន្តែសម្រាប់តែសំណុំសិទ្ធិជាក់លាក់ប៉ុណ្ណោះ។ ឧបករណ៍ប្រើប្រាស់ setcap ប្រើដើម្បីបន្ថែម និងលុបការអនុញ្ញាតចេញពីឯកសារ។

ជំហានដំបូងគឺជ្រើសរើសការអនុញ្ញាតដែលអ្នកត្រូវការ។ សម្រាប់ជាប្រយោជន៍នៃអត្ថបទនេះ ខ្ញុំសន្មត់ថាមានឧបករណ៍វិភាគបណ្តាញដែលហៅថា tracewalkដែលគួរតែអាចប្រើប្រាស់បាន។ រន្ធឆៅ. ជាធម្មតា វាទាមទារឱ្យកម្មវិធីដំណើរការជា root ប៉ុន្តែនៅពេលមើល បញ្ជី វាប្រែថាមានតែការអនុញ្ញាតប៉ុណ្ណោះដែលត្រូវបានទាមទារ CAP_NET_RAW.

សន្មតថាអ្នកស្ថិតនៅក្នុងថតដែលប្រព័ន្ធគោលពីរស្ថិតនៅ tracewalkអ្នកអាចបន្ថែមការអនុញ្ញាតដូចនេះ៖

sudo setcap cap_net_raw=eip tracewalk

មិនអើពើបច្ច័យសម្រាប់ពេលនេះ =eip សម្រាប់ដំណោះស្រាយ ខ្ញុំនឹងនិយាយអំពីវាក្នុងរយៈពេលពីរបីវិនាទី។ ចំណាំថាឈ្មោះការអនុញ្ញាតគឺអក្សរតូច។ ឥឡូវនេះ អ្នកអាចពិនិត្យមើលថាតើអ្នកបានកំណត់រចនាសម្ព័ន្ធការអនុញ្ញាតត្រឹមត្រូវជាមួយ៖

setcap -v cap_new_raw=eip tracewalk

ឬអ្នកអាចរាយបញ្ជីការអនុញ្ញាតទាំងអស់ដែលបានកំណត់សម្រាប់ការប្រតិបត្តិដែលបានផ្តល់ឱ្យ៖

getcap tracewalk

សម្រាប់ជាឯកសារយោង អ្នកក៏អាចលុបការអនុញ្ញាតទាំងអស់ចេញពីកម្មវិធីដែលអាចប្រតិបត្តិបានដោយប្រើ៖

setcap -r tracewalk

នៅចំណុចនេះ អ្នកគួរតែអាចដំណើរការកម្មវិធីដែលអាចប្រតិបត្តិបានក្នុងនាមជាអ្នកប្រើប្រាស់ដែលគ្មានសិទ្ធិ ហើយវាគួរតែអាចដំណើរការជាមួយរន្ធឆៅ ប៉ុន្តែមិនមានសិទ្ធិផ្សេងទៀតដែលអ្នកប្រើប្រាស់ root មាននោះទេ។

ដូច្នេះតើបច្ច័យចម្លែកនេះមានន័យដូចម្តេច? =eip? នេះតម្រូវឱ្យមានការយល់ដឹងខ្លះអំពីលក្ខណៈនៃការអនុញ្ញាត។ ដំណើរការនីមួយៗមានបីសំណុំនៃការអនុញ្ញាត − មានប្រសិទ្ធភាព ទទួលមរតក និងអនុញ្ញាត:

• មានប្រសិទ្ធភាព ការអនុញ្ញាតគឺជាអ្នកដែលកំណត់នូវអ្វីដែលដំណើរការពិតជាអាចធ្វើបាន។ ឧទាហរណ៍ វាមិនអាចដោះស្រាយជាមួយរន្ធឆៅបានទេ ប្រសិនបើ CAP_NET_RAW មិនមាននៅក្នុងសំណុំដែលមានប្រសិទ្ធភាពទេ។
• មាន ការអនុញ្ញាតគឺជាដំណើរការដែលត្រូវបានអនុញ្ញាតឱ្យមាន ប្រសិនបើវាស្នើសុំឱ្យពួកគេដោយប្រើការហៅដែលសមរម្យ។ ពួកគេរារាំងដំណើរការមួយពីការពិតជាធ្វើអ្វីមួយ លុះត្រាតែវាត្រូវបានសរសេរជាពិសេសដើម្បីស្នើសុំការអនុញ្ញាត។ នេះអនុញ្ញាតឱ្យដំណើរការនានាត្រូវបានសរសេរដើម្បីបន្ថែមការអនុញ្ញាតដ៏សំខាន់ចំពោះសំណុំមានប្រសិទ្ធភាពសម្រាប់តែអំឡុងពេលដែលពួកគេត្រូវបានទាមទារពិតប្រាកដប៉ុណ្ណោះ។
• មរតក ការអនុញ្ញាតគឺជាការអនុញ្ញាតដែលអាចត្រូវបានទទួលមរតកនៅក្នុងសំណុំដែលអាចចូលដំណើរការបាននៃដំណើរការបង្កើតកូន។ អំឡុងពេលវះកាត់ fork() ឬ clone() ដំណើរការកូនតែងតែត្រូវបានផ្តល់ច្បាប់ចម្លងនៃការអនុញ្ញាតពីដំណើរការមេ ចាប់តាំងពីវានៅតែដំណើរការដដែលដែលអាចប្រតិបត្តិនៅចំណុចនោះ។ ឈុតដែលអាចមរតកបានត្រូវបានប្រើនៅពេល exec() (ឬសមមូល) ត្រូវបានហៅឱ្យជំនួសឯកសារដែលអាចប្រតិបត្តិបានជាមួយឯកសារផ្សេងទៀត។ នៅចំណុចនេះ សំណុំដែលអាចប្រើបានរបស់ដំណើរការត្រូវបានបិទបាំងដោយសំណុំដែលអាចទទួលបានមរតក ដើម្បីទទួលបានសំណុំដែលអាចចូលប្រើបានដែលនឹងត្រូវបានប្រើសម្រាប់ដំណើរការថ្មី។

ដូច្នេះឧបករណ៍ប្រើប្រាស់ setcap អនុញ្ញាតឱ្យយើងបន្ថែមការអនុញ្ញាតនៃសំណុំទាំងបីនេះដោយឯករាជ្យសម្រាប់ការប្រតិបត្តិដែលបានផ្តល់ឱ្យ។ ចំណាំថាអត្ថន័យនៃក្រុមត្រូវបានបកស្រាយខុសគ្នាបន្តិចបន្តួចសម្រាប់ការអនុញ្ញាតឯកសារ៖

• មាន ការអនុញ្ញាតឯកសារគឺជាឯកសារដែលតែងតែមានសម្រាប់ឯកសារដែលអាចប្រតិបត្តិបាន ទោះបីជាដំណើរការមេដែលហៅថាវាមិនមានពួកវាក៏ដោយ។ ពួកគេធ្លាប់ត្រូវបានគេហៅថាការអនុញ្ញាត "បង្ខំ" ។
• ទទួលមរតក ការអនុញ្ញាតឯកសារកំណត់របាំងបន្ថែមដែលអាចត្រូវបានប្រើដើម្បីលុបការអនុញ្ញាតចេញពីសំណុំនៃដំណើរការហៅទូរសព្ទ។ ពួកគេអនុវត្តបន្ថែមលើសំណុំទទួលមរតករបស់ដំណើរការហៅទូរសព្ទ ដូច្នេះការអនុញ្ញាតត្រូវបានទទួលមរតកលុះត្រាតែវាមាននៅក្នុងសំណុំទាំងពីរ។
• មានប្រសិទ្ធភាព ការអនុញ្ញាតឯកសារពិតជាគ្រាន់តែជាប៊ីតតែមួយប៉ុណ្ណោះ មិនមែនជាសំណុំទេ ហើយប្រសិនបើកំណត់ វាមានន័យថាសំណុំដែលមានទាំងមូលក៏ត្រូវបានចម្លងទៅក្នុងសំណុំប្រសិទ្ធភាពនៃដំណើរការថ្មីផងដែរ។ វាអាចត្រូវបានប្រើដើម្បីបន្ថែមការអនុញ្ញាតទៅដំណើរការដែលមិនត្រូវបានសរសេរជាពិសេសដើម្បីស្នើសុំពួកគេ។ ដោយសារវាជាប៊ីត ប្រសិនបើអ្នកកំណត់វាសម្រាប់ការអនុញ្ញាតណាមួយ វាត្រូវតែកំណត់សម្រាប់ការអនុញ្ញាតទាំងអស់។ អ្នក​អាច​គិត​ថា​វា​ជា​កេរ្តិ៍​ដំណែល​មួយ​ព្រោះ​វា​ត្រូវ​បាន​ប្រើ​ដើម្បី​អនុញ្ញាត​ឱ្យ​ប្រើ​ដោយ​កម្មវិធី​ដែល​មិន​គាំទ្រ​ពួកវា។

នៅពេលបញ្ជាក់ការអនុញ្ញាតតាមរយៈ setcap អក្សរបី e, i и p យោងទៅ មានប្រសិទ្ធភាព ទទួលមរតក និងអាចចូលដំណើរការបាន។ កំណត់រៀងៗខ្លួន។ ដូច្នេះការបញ្ជាក់មុននេះ៖

sudo setcap cap_net_raw=eip tracewalk

... បង្ហាញថាដំណោះស្រាយ CAP_NET_RAW ត្រូវតែបន្ថែមទៅសំណុំដែលមាន និងអាចមរតកបាន ហើយប៊ីតដែលមានប្រសិទ្ធភាពក៏ត្រូវតែកំណត់ផងដែរ។ វានឹងបដិសេធការអនុញ្ញាតដែលបានកំណត់ពីមុននៅលើឯកសារ។ ដើម្បីកំណត់ការអនុញ្ញាតច្រើនក្នុងពេលតែមួយ សូមប្រើបញ្ជីដែលបំបែកដោយសញ្ញាក្បៀស៖

sudo setcap cap_net_admin,cap_net_raw=eip tracewalk

ការណែនាំអំពីការអនុញ្ញាត ពិភាក្សាអំពីចំណុចទាំងអស់នេះឱ្យកាន់តែលម្អិត ប៉ុន្តែសង្ឃឹមថាការបង្ហោះនេះបានបង្ហាញពីអ្វីដែលកំពុងកើតឡើងបន្តិចបន្តួច។ នៅសល់តែការព្រមាន និងល្បិចមួយចំនួនប៉ុណ្ណោះដែលត្រូវនិយាយ។

ទីមួយ សមត្ថភាពឯកសារមិនដំណើរការជាមួយ symlinks ទេ - អ្នកត្រូវអនុវត្តពួកវាទៅឯកសារគោលពីរដោយខ្លួនវា (ឧ. គោលដៅនៃ symlink) ។

ទីពីរ ពួកវាមិនដំណើរការជាមួយស្គ្រីបដែលបានបកប្រែទេ។ ឧទាហរណ៍ ប្រសិនបើអ្នកមានស្គ្រីប Python ដែលអ្នកចង់ផ្តល់សិទ្ធិឱ្យ អ្នកត្រូវតែផ្តល់វាឱ្យអ្នកបកប្រែ Python ខ្លួនឯង។ ជាក់ស្តែង នេះគឺជាបញ្ហាសុវត្ថិភាពដែលអាចកើតមាន ពីព្រោះបន្ទាប់មក ស្គ្រីបទាំងអស់ដែលត្រូវបានប្រតិបត្តិជាមួយអ្នកបកប្រែនោះនឹងមានការអនុញ្ញាតដែលបានបញ្ជាក់ ទោះបីជាវានៅតែប្រសើរជាងការធ្វើឱ្យវា SUID ក៏ដោយ។ ដំណោះស្រាយសាមញ្ញបំផុតហាក់ដូចជាសរសេរការប្រតិបត្តិដាច់ដោយឡែកនៅក្នុង C ឬសមមូល ដែលអាចធ្វើប្រតិបត្តិការចាំបាច់ និងហៅវាពីស្គ្រីប។ នេះគឺស្រដៀងគ្នាទៅនឹងវិធីសាស្រ្តដែលប្រើដោយ Wireshark ដែលប្រើប្រព័ន្ធគោលពីរ /usr/bin/dumpcap ដើម្បីអនុវត្តប្រតិបត្តិការដែលមានសិទ្ធិ៖

$ getcap /usr/bin/dumpcap 
/usr/bin/dumpcap = cap_net_admin,cap_net_raw+eip

ទីបី ការអនុញ្ញាតឯកសារត្រូវបានបិទ ប្រសិនបើអ្នកប្រើអថេរបរិស្ថាន LD_LIBRARY_PATH សម្រាប់ហេតុផលសុវត្ថិភាពជាក់ស្តែង(1​). ដូចគ្នានេះដែរអនុវត្តចំពោះ LD_PRELOAD, ឆ្ងាយ​ដូច​ដែល​ខ្ញុំ​ដឹង។

1. ដោយសារអ្នកវាយប្រហារច្បាស់ជាអាចជំនួសបណ្ណាល័យស្តង់ដារមួយ និងប្រើប្រាស់បាន។ LD_LIBRARY_PATHដើម្បីបង្ខំឱ្យបណ្ណាល័យរបស់ខ្លួនត្រូវបានហៅតាមចំណូលចិត្តរបស់ប្រព័ន្ធមួយ ដូច្នេះហើយមានកូដផ្ទាល់ខ្លួនរបស់វាដែលត្រូវបានប្រតិបត្តិដោយមានសិទ្ធិដូចគ្នានឹងកម្មវិធីហៅទូរសព្ទ។

អស់ហើយ។ ព័ត៌មានលម្អិតបន្ថែមអំពីកម្មវិធីវគ្គសិក្សាអាចរកបាននៅ webinar ដែលនឹងប្រព្រឹត្តទៅនៅថ្ងៃទី 24 ខែមករា។

ប្រភព: www.habr.com