Suid ഫയലുകൾ ഒഴിവാക്കാൻ സുഡോയ്ക്ക് പകരം UNIX സോക്കറ്റിൽ SSH ഉപയോഗിക്കുന്നു

Red Hat-ൽ നിന്നുള്ള Timothee Ravier, Fedora Silverblue, Fedora Kinoite പ്രൊജക്‌റ്റുകളുടെ മെയിന്റനർ, സുഡോ യൂട്ടിലിറ്റി ഉപയോഗിക്കുന്നത് ഒഴിവാക്കാനുള്ള ഒരു മാർഗം നിർദ്ദേശിച്ചു, അത് പ്രത്യേകാവകാശങ്ങൾ വർദ്ധിപ്പിക്കുന്നതിന് suid ബിറ്റ് ഉപയോഗിക്കുന്നു. sudo-യ്ക്ക് പകരം, ഒരു സാധാരണ ഉപയോക്താവിന് റൂട്ട് അവകാശങ്ങളുള്ള കമാൻഡുകൾ പ്രവർത്തിപ്പിക്കുന്നതിന്, UNIX സോക്കറ്റ് വഴിയും SSH കീകൾ അടിസ്ഥാനമാക്കിയുള്ള അനുമതികളുടെ സ്ഥിരീകരണവും വഴി അതേ സിസ്റ്റത്തിലേക്ക് ലോക്കൽ കണക്ഷനുള്ള ssh യൂട്ടിലിറ്റി ഉപയോഗിക്കാൻ നിർദ്ദേശിക്കുന്നു.

സുഡോയ്ക്ക് പകരം ssh ഉപയോഗിക്കുന്നത്, സിസ്റ്റത്തിലെ suid പ്രോഗ്രാമുകൾ ഒഴിവാക്കാനും, Fedora Silverblue, Fedora Kinoite, Fedora Sericea, Fedora Onyx തുടങ്ങിയ കണ്ടെയ്നർ ഐസൊലേഷൻ ഘടകങ്ങൾ ഉപയോഗിക്കുന്ന വിതരണങ്ങളുടെ ഹോസ്റ്റ് പരിതസ്ഥിതിയിൽ പ്രത്യേക കമാൻഡുകൾ നടപ്പിലാക്കാനും നിങ്ങളെ അനുവദിക്കുന്നു. ആക്‌സസ് നിയന്ത്രിക്കുന്നതിന്, യുഎസ്ബി ടോക്കൺ (ഉദാഹരണത്തിന്, യുബികെ) ഉപയോഗിച്ച് അധികാരത്തിന്റെ സ്ഥിരീകരണം അധികമായി ഉപയോഗിക്കാവുന്നതാണ്.

ഒരു ലോക്കൽ Unix സോക്കറ്റ് വഴിയുള്ള പ്രവേശനത്തിനായി OpenSSH സെർവർ ഘടകങ്ങൾ കോൺഫിഗർ ചെയ്യുന്നതിനുള്ള ഒരു ഉദാഹരണം (അതിന്റെ സ്വന്തം കോൺഫിഗറേഷൻ ഫയൽ ഉപയോഗിച്ച് ഒരു പ്രത്യേക sshd ഉദാഹരണം സമാരംഭിക്കും):

/etc/systemd/system/sshd-unix.socket: [യൂണിറ്റ്] വിവരണം=ഓപ്പൺഎസ്എസ്എച്ച് സെർവർ യുണിക്സ് സോക്കറ്റ് ഡോക്യുമെന്റേഷൻ=മാൻ:എസ്എസ്എച്ച്ഡി(8) മാൻ:sshd_config(5) [സോക്കറ്റ്] ListenStream=/run/sshd.sock Accept=yes [ഇൻസ്റ്റാൾ] WantedBy=sockets.target

/ etc / systemd / system /[ഇമെയിൽ പരിരക്ഷിച്ചിരിക്കുന്നു]: [യൂണിറ്റ്] വിവരണം=ഓപ്പൺഎസ്എസ്എച്ച് പെർ-കണക്ഷൻ സെർവർ ഡെമൺ (യൂണിക്സ് സോക്കറ്റ്) ഡോക്യുമെന്റേഷൻ=മാൻ:sshd(8) മാൻ:sshd_config(5) Wants=sshd-keygen.target After=sshd-keygen.target [Service] ExecStart=- /usr/sbin/sshd -i -f /etc/ssh/sshd_config_unix StandardInput=socket

/etc/ssh/sshd_config_unix: # കീ ഓതന്റിക്കേഷൻ മാത്രം അവശേഷിക്കുന്നു കീകൾ2 അംഗീകൃത കീസ്ഫയൽ .ssh /authorized_ keys # sftp സബ്സിസ്റ്റം sftp /usr/libexec/openssh/sftp-server പ്രവർത്തനക്ഷമമാക്കുക

systemd യൂണിറ്റ് സജീവമാക്കുകയും സമാരംഭിക്കുകയും ചെയ്യുക: sudo systemctl ഡെമൺ-റീലോഡ് sudo systemctl പ്രവർത്തനക്ഷമമാക്കുക -ഇപ്പോൾ sshd-unix.socket

/root/.ssh/authorized_keys-ലേക്ക് നിങ്ങളുടെ SSH കീ ചേർക്കുക

SSH ക്ലയന്റ് സജ്ജീകരിക്കുന്നു.

Socat യൂട്ടിലിറ്റി ഇൻസ്റ്റാൾ ചെയ്യുക: sudo dnf ഇൻസ്റ്റാൾ socat

ഒരു UNIX സോക്കറ്റ് വഴിയുള്ള ആക്‌സസ്സിനുള്ള പ്രോക്‌സിയായി socat വ്യക്തമാക്കിക്കൊണ്ട് ഞങ്ങൾ /.ssh/config സപ്ലിമെന്റ് ചെയ്യുന്നു: Host host.local ഉപയോക്തൃ റൂട്ട് # കണ്ടെയ്‌നറുകളിൽ നിന്ന് പ്രവർത്തിക്കാൻ /run/host/run എന്നതിനുപകരം ProxyCommand socat - UNIX-ക്ലയന്റ്: / run/ host/run/sshd.sock # SSH കീ ഐഡന്റിറ്റി ഫയലിലേക്കുള്ള പാത ~/.ssh/keys/localroot # ഇന്ററാക്ടീവ് ഷെല്ലിനുള്ള TTY പിന്തുണ പ്രവർത്തനക്ഷമമാക്കുക.

നിലവിലെ രൂപത്തിൽ, ഒരു പാസ്‌വേഡ് നൽകാതെ തന്നെ റൂട്ട് ആയി കമാൻഡുകൾ എക്‌സിക്യൂട്ട് ചെയ്യാൻ യൂസർ അഡ്മിൻ യൂസർ നെയിമിന് കഴിയും. പ്രവർത്തനം പരിശോധിക്കുന്നു: $ ssh host.local [റൂട്ട് ~]#

സുഡോയ്ക്ക് സമാനമായി “ssh host.local” പ്രവർത്തിപ്പിക്കുന്നതിന് ഞങ്ങൾ ബാഷിൽ ഒരു സുഡോഹോസ്റ്റ് അപരനാമം സൃഷ്ടിക്കുന്നു: sudohost() { if [[ ${#} -eq 0 ]]; തുടർന്ന് ssh host.local "cd \"${PWD}\"; എക്സിക് \"${SHELL}\" --ലോഗിൻ" വേറെ ssh host.local "cd \"${PWD}\"; എക്സിക് \»${@}\»» fi }

പരിശോധിക്കുക: $ sudohost id uid=0(റൂട്ട്) gid=0(റൂട്ട്) ഗ്രൂപ്പുകൾ=0(റൂട്ട്)

ഞങ്ങൾ ക്രെഡൻഷ്യലുകൾ ചേർക്കുകയും രണ്ട്-ഘടക പ്രാമാണീകരണം പ്രവർത്തനക്ഷമമാക്കുകയും ചെയ്യുന്നു, ഒരു Yubikey USB ടോക്കൺ ചേർക്കുമ്പോൾ മാത്രമേ റൂട്ട് ആക്‌സസ് അനുവദിക്കൂ.

നിലവിലുള്ള Yubikey ഏതൊക്കെ അൽഗോരിതങ്ങൾ പിന്തുണയ്ക്കുന്നുവെന്ന് ഞങ്ങൾ പരിശോധിക്കുന്നു: lsusb -v 2>/dev/null | grep -A2 Yubico | grep "bcdDevice" | awk '{print $2}'

ഔട്ട്പുട്ട് 5.2.3 അല്ലെങ്കിൽ അതിൽ കൂടുതലാണെങ്കിൽ, കീകൾ സൃഷ്ടിക്കുമ്പോൾ ed25519-sk ഉപയോഗിക്കുക, അല്ലെങ്കിൽ ecdsa-sk ഉപയോഗിക്കുക: ssh-keygen -t ed25519-sk അല്ലെങ്കിൽ ssh-keygen -t ecdsa-sk

/root/.ssh/authorized_keys-ലേക്ക് പൊതു കീ ചേർക്കുന്നു

sshd കോൺഫിഗറേഷനിലേക്ക് ഒരു കീ ടൈപ്പ് ബൈൻഡിംഗ് ചേർക്കുക: /etc/ssh/sshd_config_unix: PubkeyAcceptedKeyTypes [ഇമെയിൽ പരിരക്ഷിച്ചിരിക്കുന്നു],[ഇമെയിൽ പരിരക്ഷിച്ചിരിക്കുന്നു]

Unix സോക്കറ്റിലേക്കുള്ള പ്രവേശനം ഞങ്ങൾ പരിമിതപ്പെടുത്തുന്നത് പ്രത്യേകാവകാശങ്ങൾ ഉയർത്താൻ കഴിയുന്ന ഉപയോക്താവിന് മാത്രമാണ് (ഞങ്ങളുടെ ഉദാഹരണത്തിൽ, അഡ്മിൻ ഉപയോക്തൃനാമം). /etc/systemd/system/sshd-unix.socket-ൽ ചേർക്കുക: [സോക്കറ്റ്] ... SocketUser=adminusername SocketGroup=adminusername SocketMode=0660

അവലംബം: opennet.ru