ലിനക്സിൽ ഫയൽ അനുമതികൾ

എല്ലാവർക്കും ഹായ്. ഞങ്ങൾ സജീവമായി ജോലിയിൽ ഏർപ്പെടുകയാണ്, ജനുവരിയിൽ ശക്തമായ നിരവധി ലോഞ്ചുകൾ ഇതിനകം തയ്യാറാക്കിക്കൊണ്ടിരിക്കുകയാണ്. മറ്റുള്ളവരുടെ കൂട്ടത്തിൽ, എല്ലാവരുടെയും പ്രിയപ്പെട്ട കോഴ്‌സിന്റെ പുതിയ സ്ട്രീമിനായി എൻറോൾമെന്റ് പ്രഖ്യാപിച്ചിരിക്കുന്നു. "ലിനക്സ് അഡ്മിനിസ്ട്രേറ്റർ". ലോഞ്ച് പ്രതീക്ഷിച്ച്, ഉപയോഗപ്രദമായ മെറ്റീരിയലിന്റെ വിവർത്തനങ്ങൾ ഞങ്ങൾ പരമ്പരാഗതമായി പങ്കിടുന്നു.

ഫയൽ അനുമതികൾ SUID എക്സിക്യൂട്ടബിളുകൾക്ക് സുരക്ഷിതമായ ഒരു ബദൽ വാഗ്ദാനം ചെയ്യുന്നു, എന്നാൽ ആദ്യം അൽപ്പം ആശയക്കുഴപ്പം തോന്നിയേക്കാം.

ബൈനറികൾ എന്ന് നമുക്കെല്ലാവർക്കും അറിയാം തെക്ക് അവള് സുരക്ഷാ വീക്ഷണകോണിൽ നിന്നുള്ള മോശം തീരുമാനം. ഭാഗ്യവശാൽ, നിങ്ങളുടെ അപ്ലിക്കേഷന് ചില പരിമിതമായ പ്രത്യേകാവകാശങ്ങൾ ആവശ്യമുണ്ടെങ്കിൽ, കൂടുതൽ കാര്യക്ഷമമായ ഒരു മാർഗമുണ്ട് ഫയൽ അനുമതികൾ.

മുകളിലുള്ള ലേഖനം വിശദമായി വായിക്കുന്നത് ഒഴിവാക്കാൻ നിങ്ങൾ ആഗ്രഹിക്കുന്നുവെങ്കിൽ, ഞാൻ നിങ്ങൾക്ക് കുറച്ച് സമയം ലാഭിക്കും: അടിസ്ഥാനപരമായി, ഫയൽ അനുമതികൾ റൂട്ട് ആയി പ്രവർത്തിക്കുന്ന പ്രക്രിയകളെ അനുവദിക്കുന്നു, അതിനാൽ ചില കഴിവുകൾ നിലനിർത്താൻ എന്തെങ്കിലും ചെയ്യാൻ അനുവദിച്ചിരിക്കുന്നു, പരിമിതമാണ് ഈ പട്ടികഅവർ പ്രത്യേകാവകാശങ്ങൾ ഉപേക്ഷിക്കുകയും ഒരു പ്രത്യേകാവകാശമില്ലാത്ത ഉപയോക്താവ് പ്രവർത്തിപ്പിക്കുകയും ചെയ്യുമ്പോൾ. ഇതിനർത്ഥം, ഒരു ബഫർ ഓവർഫ്ലോ അല്ലെങ്കിൽ മറ്റ് ചൂഷണം ഉപയോഗിച്ച് ഒരു പ്രക്രിയയിൽ വിട്ടുവീഴ്ച ചെയ്യാൻ ഒരു ആക്രമണകാരിക്ക് കഴിഞ്ഞാൽ, ആ പ്രക്രിയയ്ക്ക് യഥാർത്ഥത്തിൽ ആവശ്യമായ ചില കുറഞ്ഞ പ്രത്യേകാവകാശങ്ങളല്ലാതെ മറ്റൊന്നും അവർക്ക് പ്രയോജനപ്പെടുത്താൻ കഴിയില്ല.

എല്ലായ്‌പ്പോഴും റൂട്ട് ആയി പ്രവർത്തിക്കുന്ന സേവനങ്ങൾക്ക് അനുമതികൾ മികച്ചതാണ്, എന്നാൽ കമാൻഡ് ലൈൻ യൂട്ടിലിറ്റികളുടെ കാര്യമോ? ഭാഗ്യവശാൽ, നിങ്ങൾ ശരിയായ യൂട്ടിലിറ്റികൾ ഇൻസ്റ്റാൾ ചെയ്തിട്ടുണ്ടെങ്കിൽ ഇതും പിന്തുണയ്ക്കുന്നു. നിങ്ങൾ ഉബുണ്ടു ഉപയോഗിക്കുകയാണെങ്കിൽ, ഉദാഹരണത്തിന് നിങ്ങൾക്ക് പാക്കേജ് ആവശ്യമാണ് libcap2-bin. നിങ്ങൾ ഒരു നോൺ-ആർക്കൈക് കേർണലും പ്രവർത്തിപ്പിക്കേണ്ടതുണ്ട് (പതിപ്പിൽ നിന്ന് 2.6.24).

ഈ ഫംഗ്‌ഷനുകൾ, SUID ബിറ്റ് സജ്ജീകരിക്കുന്നതിന് സമാനമായ, എക്‌സിക്യൂട്ടബിൾ ഫയലുകളുമായി ബന്ധപ്പെടുത്താൻ അനുമതികൾ അനുവദിക്കുന്നു, എന്നാൽ ഒരു പ്രത്യേക സെറ്റ് അനുമതികൾക്ക് മാത്രം. യൂട്ടിലിറ്റി setcap ഒരു ഫയലിൽ നിന്ന് അനുമതികൾ ചേർക്കാനും നീക്കം ചെയ്യാനും ഉപയോഗിക്കുന്നു.

നിങ്ങൾക്ക് ആവശ്യമായ അനുമതികൾ തിരഞ്ഞെടുക്കുക എന്നതാണ് ആദ്യപടി. ഈ ലേഖനത്തിന് വേണ്ടി, ഒരു നെറ്റ്‌വർക്ക് ഡയഗ്നോസ്റ്റിക് ടൂൾ ഉണ്ടെന്ന് ഞാൻ അനുമാനിക്കുന്നു tracewalk, അത് ഉപയോഗിക്കാൻ കഴിയണം അസംസ്കൃത സോക്കറ്റുകൾ. ഇത് സാധാരണയായി റൂട്ട് ആയി പ്രവർത്തിപ്പിക്കേണ്ടതുണ്ട്, പക്ഷേ കാണുമ്പോൾ പട്ടിക അനുമതി മാത്രമേ ആവശ്യമുള്ളൂ എന്ന് അത് മാറുന്നു CAP_NET_RAW.

നിങ്ങൾ ബൈനറി സ്ഥിതി ചെയ്യുന്ന ഡയറക്ടറിയിലാണെന്ന് കരുതുക tracewalk, നിങ്ങൾക്ക് ഈ അനുമതി ഇതുപോലെ ചേർക്കാം:

sudo setcap cap_net_raw=eip tracewalk

തൽക്കാലം പ്രത്യയം അവഗണിക്കുക =eip പരിഹാരത്തിനായി, ഞാൻ അതിനെക്കുറിച്ച് കുറച്ച് നിമിഷങ്ങൾക്കുള്ളിൽ സംസാരിക്കും. അനുമതിയുടെ പേര് ചെറിയക്ഷരത്തിലാണെന്നത് ശ്രദ്ധിക്കുക. ഇനിപ്പറയുന്നവ ഉപയോഗിച്ച് നിങ്ങൾ അനുമതികൾ ശരിയായി ക്രമീകരിച്ചിട്ടുണ്ടോയെന്ന് ഇപ്പോൾ നിങ്ങൾക്ക് പരിശോധിക്കാം:

setcap -v cap_new_raw=eip tracewalk

അല്ലെങ്കിൽ നൽകിയിരിക്കുന്ന എക്സിക്യൂട്ടബിളിനായി സജ്ജമാക്കിയ എല്ലാ അനുമതികളും നിങ്ങൾക്ക് ലിസ്റ്റ് ചെയ്യാം:

getcap tracewalk

റഫറൻസിനായി, ഇനിപ്പറയുന്നവ ഉപയോഗിച്ച് നിങ്ങൾക്ക് എക്സിക്യൂട്ടബിളിൽ നിന്ന് എല്ലാ അനുമതികളും നീക്കംചെയ്യാം:

setcap -r tracewalk

ഈ ഘട്ടത്തിൽ, നിങ്ങൾക്ക് എക്‌സിക്യൂട്ടബിൾ ഒരു അൺപ്രിവിലേജ്ഡ് ഉപയോക്താവായി പ്രവർത്തിപ്പിക്കാൻ കഴിയണം, കൂടാതെ ഇതിന് റോ സോക്കറ്റുകളിൽ പ്രവർത്തിക്കാൻ കഴിയണം, പക്ഷേ റൂട്ട് ഉപയോക്താവിന് ഉള്ള മറ്റ് പ്രത്യേകാവകാശങ്ങളൊന്നും ഉണ്ടാകരുത്.

അപ്പോൾ ഈ വിചിത്രമായ പ്രത്യയം എന്താണ് അർത്ഥമാക്കുന്നത്? =eip? ഇതിന് അനുമതികളുടെ സ്വഭാവത്തെക്കുറിച്ച് കുറച്ച് ധാരണ ആവശ്യമാണ്. ഓരോ പ്രക്രിയയ്ക്കും മൂന്ന് സെറ്റ് അനുമതികളുണ്ട് - ഫലപ്രദവും പാരമ്പര്യവും അനുവദനീയവുമാണ്:

• ഫലപ്രദമാണ് ഒരു പ്രക്രിയയ്ക്ക് യഥാർത്ഥത്തിൽ എന്തുചെയ്യാൻ കഴിയുമെന്ന് നിർവചിക്കുന്നവയാണ് അനുമതികൾ. ഉദാഹരണത്തിന്, ഇതിന് അസംസ്കൃത സോക്കറ്റുകൾ കൈകാര്യം ചെയ്യാൻ കഴിയില്ല CAP_NET_RAW ഫലപ്രദമായ സെറ്റിൽ ഇല്ല.
• ലഭ്യമാണ് ഉചിതമായ കോൾ ഉപയോഗിച്ച് അഭ്യർത്ഥിച്ചാൽ ഒരു പ്രോസസ്സിന് അനുവദിക്കുന്നവയാണ് അനുമതികൾ. പറഞ്ഞ അനുമതി അഭ്യർത്ഥിക്കാൻ പ്രത്യേകം എഴുതിയിട്ടില്ലെങ്കിൽ, അവർ ഒരു പ്രക്രിയയെ യഥാർത്ഥത്തിൽ എന്തെങ്കിലും ചെയ്യുന്നതിൽ നിന്ന് തടയുന്നു. യഥാർത്ഥത്തിൽ ആവശ്യമുള്ള കാലയളവിലേക്ക് മാത്രം ഫലപ്രദമായ സെറ്റിലേക്ക് ക്രിട്ടിക്കൽ പെർമിഷനുകൾ ചേർക്കുന്നതിന് പ്രോസസ്സുകൾ എഴുതാൻ ഇത് അനുവദിക്കുന്നു.
• പാരമ്പര്യമായി ലഭിക്കുന്നത് സ്പോൺഡ് ചൈൽഡ് പ്രോസസിന്റെ ആക്സസ് ചെയ്യാവുന്ന സെറ്റിൽ പാരമ്പര്യമായി ലഭിക്കാവുന്നവയാണ് അനുമതികൾ. ശസ്ത്രക്രിയ സമയത്ത് fork() അഥവാ clone() ചൈൽഡ് പ്രോസസിന് എല്ലായ്‌പ്പോഴും പാരന്റ് പ്രോസസിന്റെ അനുമതികളുടെ ഒരു പകർപ്പ് നൽകും, കാരണം അത് ആ ഘട്ടത്തിൽ എക്‌സിക്യൂട്ടബിൾ തന്നെ പ്രവർത്തിക്കുന്നു. എപ്പോൾ ഒരു പാരമ്പര്യ സെറ്റ് ഉപയോഗിക്കുന്നു exec() (അല്ലെങ്കിൽ തത്തുല്യമായത്) എക്സിക്യൂട്ടബിൾ ഫയൽ മറ്റൊന്ന് ഉപയോഗിച്ച് മാറ്റിസ്ഥാപിക്കാൻ വിളിക്കുന്നു. ഈ ഘട്ടത്തിൽ, പുതിയ പ്രക്രിയയ്‌ക്കായി ഉപയോഗിക്കുന്ന ആക്‌സസ് ചെയ്യാവുന്ന സെറ്റ് ലഭിക്കുന്നതിന് പ്രോസസിന്റെ ലഭ്യമായ സെറ്റ് ഇൻഹെറിറ്റബിൾ സെറ്റ് ഉപയോഗിച്ച് മറയ്ക്കുന്നു.

അതിനാൽ യൂട്ടിലിറ്റി setcap തന്നിരിക്കുന്ന എക്സിക്യൂട്ടബിളിനായി ഈ മൂന്ന് സെറ്റുകളുടെയും അനുമതികൾ സ്വതന്ത്രമായി ചേർക്കാൻ ഞങ്ങളെ അനുവദിക്കുന്നു. ഫയൽ അനുമതികൾക്കായി ഗ്രൂപ്പുകളുടെ അർത്ഥം അല്പം വ്യത്യസ്തമായി വ്യാഖ്യാനിക്കപ്പെടുന്നു എന്നത് ശ്രദ്ധിക്കുക:

• ലഭ്യമാണ് ഒരു എക്സിക്യൂട്ടബിൾ ഫയലിന് എല്ലായ്പ്പോഴും ലഭ്യമായവയാണ് ഫയൽ അനുമതികൾ, അത് വിളിച്ച പാരന്റ് പ്രോസസിന് അവ ഇല്ലെങ്കിലും. അവരെ "നിർബന്ധിത" പെർമിറ്റുകൾ എന്ന് വിളിക്കാറുണ്ടായിരുന്നു.
• പാരമ്പര്യമായി ഫയൽ പെർമിഷനുകൾ ഒരു അധിക മാസ്കിനെ നിർവചിക്കുന്നു, അത് കോളിംഗ് പ്രക്രിയയുടെ സെറ്റിൽ നിന്ന് അനുമതികൾ നീക്കം ചെയ്യാനും ഉപയോഗിക്കാം. കോളിംഗ് പ്രോസസിന്റെ ഇൻഹെറിറ്റഡ് സെറ്റിന് പുറമേ അവ ബാധകമാണ്, അതിനാൽ രണ്ട് സെറ്റുകളിലും അത് നിലവിലുണ്ടെങ്കിൽ മാത്രമേ അനുമതി പാരമ്പര്യമായി ലഭിക്കൂ.
• ഫലപ്രദമാണ് ഫയൽ അനുമതികൾ യഥാർത്ഥത്തിൽ ഒരൊറ്റ ബിറ്റ് മാത്രമാണ്, ഒരു സെറ്റല്ല, സജ്ജീകരിച്ചാൽ, ലഭ്യമായ മുഴുവൻ സെറ്റും പുതിയ പ്രക്രിയയുടെ ഫലപ്രദമായ സെറ്റിലേക്ക് പകർത്തിയെന്നാണ് ഇതിനർത്ഥം. അഭ്യർത്ഥിക്കാൻ പ്രത്യേകം എഴുതാത്ത പ്രക്രിയകളിലേക്ക് അനുമതികൾ ചേർക്കാൻ ഇത് ഉപയോഗിക്കാം. ഇത് ഒരു ബിറ്റ് ആയതിനാൽ, നിങ്ങൾ ഇത് ഏതെങ്കിലും അനുമതിക്കായി സജ്ജമാക്കുകയാണെങ്കിൽ, അത് എല്ലാ അനുമതികൾക്കും സജ്ജമാക്കിയിരിക്കണം. നിങ്ങൾക്ക് ഇത് ഒരു ലെഗസി ബിറ്റ് ആയി കണക്കാക്കാം, കാരണം അവ പിന്തുണയ്‌ക്കാത്ത അപ്ലിക്കേഷനുകൾക്ക് അനുമതികൾ ഉപയോഗിക്കാൻ അനുവദിക്കുന്നതിന് ഇത് ഉപയോഗിക്കുന്നു.

വഴി അനുമതികൾ വ്യക്തമാക്കുമ്പോൾ setcap മൂന്ന് അക്ഷരങ്ങൾ e, i и p റഫർ ചെയ്യുക ഫലപ്രദവും പാരമ്പര്യവും ആക്സസ് ചെയ്യാവുന്നതുമാണ് യഥാക്രമം സെറ്റുകൾ. അതിനാൽ, മുമ്പത്തെ സ്പെസിഫിക്കേഷൻ:

sudo setcap cap_net_raw=eip tracewalk

...പ്രമേയം എന്ന് സൂചിപ്പിക്കുന്നു CAP_NET_RAW ലഭ്യമായതും പാരമ്പര്യമായി ലഭിക്കുന്നതുമായ സെറ്റുകളിലേക്ക് ചേർക്കണം, കൂടാതെ ഫലപ്രദമായ ബിറ്റും സജ്ജീകരിക്കണം. ഫയലിൽ മുമ്പ് സജ്ജീകരിച്ചിട്ടുള്ള എല്ലാ അനുമതികളും ഇത് അസാധുവാക്കും. ഒരേസമയം ഒന്നിലധികം അനുമതികൾ സജ്ജീകരിക്കുന്നതിന്, കോമയാൽ വേർതിരിച്ച ഒരു ലിസ്റ്റ് ഉപയോഗിക്കുക:

sudo setcap cap_net_admin,cap_net_raw=eip tracewalk

അനുമതി ഗൈഡ് ഇവയെല്ലാം കൂടുതൽ വിശദമായി ചർച്ചചെയ്യുന്നു, എന്നാൽ ഈ പോസ്റ്റ് എന്താണ് സംഭവിക്കുന്നതെന്ന് കുറച്ചുകൂടി നിന്ദിച്ചിട്ടുണ്ടെന്ന് പ്രതീക്ഷിക്കുന്നു. പരാമർശിക്കാൻ കുറച്ച് മുന്നറിയിപ്പുകളും തന്ത്രങ്ങളും മാത്രമേ അവശേഷിക്കുന്നുള്ളൂ.

ആദ്യം, ഫയൽ കഴിവുകൾ സിംലിങ്കുകളിൽ പ്രവർത്തിക്കില്ല - നിങ്ങൾ അവ ബൈനറി ഫയലിൽ തന്നെ പ്രയോഗിക്കണം (അതായത് സിംലിങ്കിന്റെ ലക്ഷ്യം).

രണ്ടാമതായി, വ്യാഖ്യാനിച്ച സ്ക്രിപ്റ്റുകളിൽ അവ പ്രവർത്തിക്കില്ല. ഉദാഹരണത്തിന്, നിങ്ങൾക്ക് അനുമതി നൽകേണ്ട ഒരു പൈത്തൺ സ്ക്രിപ്റ്റ് ഉണ്ടെങ്കിൽ, നിങ്ങൾ അത് പൈത്തൺ ഇന്റർപ്രെറ്ററിന് തന്നെ നൽകണം. വ്യക്തമായും ഇതൊരു സുരക്ഷാ പ്രശ്‌നമാണ്, കാരണം ആ ഇന്റർപ്രെറ്റർ ഉപയോഗിച്ച് എക്‌സിക്യൂട്ട് ചെയ്യുന്ന എല്ലാ സ്‌ക്രിപ്റ്റുകൾക്കും നിർദ്ദിഷ്ട അനുമതി ഉണ്ടായിരിക്കും, എന്നിരുന്നാലും ഇത് SUID ആക്കുന്നതിനേക്കാൾ മികച്ചതാണ്. സിയിലോ തത്തുല്യമായോ ഒരു പ്രത്യേക എക്സിക്യൂട്ടബിൾ എഴുതുക എന്നതാണ് ഏറ്റവും സാധാരണമായ പ്രതിവിധി, അത് ആവശ്യമായ പ്രവർത്തനങ്ങൾ നടത്താനും ഒരു സ്ക്രിപ്റ്റിൽ നിന്ന് വിളിക്കാനും കഴിയും. ബൈനറി ഉപയോഗിക്കുന്ന വയർഷാർക്ക് ഉപയോഗിക്കുന്ന സമീപനത്തിന് സമാനമാണിത് /usr/bin/dumpcap പ്രത്യേക പ്രവർത്തനങ്ങൾ നടത്താൻ:

$ getcap /usr/bin/dumpcap 
/usr/bin/dumpcap = cap_net_admin,cap_net_raw+eip

മൂന്നാമതായി, നിങ്ങൾ ഒരു എൻവയോൺമെന്റ് വേരിയബിൾ ഉപയോഗിക്കുകയാണെങ്കിൽ ഫയൽ അനുമതികൾ പ്രവർത്തനരഹിതമാക്കും LD_LIBRARY_PATH വ്യക്തമായ സുരക്ഷാ കാരണങ്ങളാൽ(1). ഇതും ബാധകമാണ് LD_PRELOAD, എനിക്ക് അറിയാവുന്നിടത്തോളം.

1. ഒരു ആക്രമണകാരിക്ക് സാധാരണ ലൈബ്രറികളിലൊന്ന് മാറ്റിസ്ഥാപിക്കാനും ഉപയോഗിക്കാനും കഴിയുമെന്നതിനാൽ LD_LIBRARY_PATHസിസ്റ്റം ഒന്നിന് മുൻഗണന നൽകിക്കൊണ്ട് അതിന്റെ ലൈബ്രറിയെ വിളിക്കാൻ നിർബന്ധിക്കുക, അതിനാൽ കോളിംഗ് ആപ്ലിക്കേഷന്റെ അതേ പ്രത്യേകാവകാശങ്ങളോടെ സ്വന്തം അനിയന്ത്രിതമായ കോഡ് നടപ്പിലാക്കുക.

അത്രയേയുള്ളൂ. കോഴ്‌സ് പ്രോഗ്രാമിനെക്കുറിച്ചുള്ള കൂടുതൽ വിശദാംശങ്ങൾ ഇവിടെ കാണാം വെബിനാർ ജനുവരി 24 ന് നടക്കും.

അവലംബം: www.habr.com