लिनक्समध्ये फाइल परवानग्या

सर्वांना नमस्कार. आम्ही सक्रियपणे काम करत आहोत आणि जानेवारीमध्ये अनेक शक्तिशाली लॉन्चची तयारी करत आहोत. इतरांपैकी, प्रत्येकाच्या आवडत्या अभ्यासक्रमाच्या नवीन प्रवाहासाठी नावनोंदणी जाहीर करण्यात आली आहे. "लिनक्स प्रशासक". लॉन्चच्या अपेक्षेने, आम्ही परंपरेने उपयुक्त सामग्रीचे भाषांतर सामायिक करतो.

फाइल परवानग्या SUID एक्झिक्युटेबलसाठी सुरक्षित पर्याय देतात, परंतु सुरुवातीला ते थोडे गोंधळात टाकणारे वाटू शकतात.

आपल्या सर्वांना बायनरी माहित आहेत दक्षिण आहेत सुरक्षिततेच्या दृष्टिकोनातून चुकीचा निर्णय. सुदैवाने, जर तुमच्या अर्जाला काही मर्यादित विशेषाधिकारांची आवश्यकता असेल, तर एक अधिक कार्यक्षम मार्ग आहे फाइल परवानग्या.

जर तुम्हाला वरील लेख तपशीलवार वाचायचा असेल तर मी तुमचा काही वेळ वाचवीन: मूलत:, फाइल परवानग्या रूट म्हणून चालणाऱ्या प्रक्रियांना परवानगी देतात आणि त्यामुळे काही क्षमता राखून ठेवण्यासाठी काही करण्याची परवानगी असते, मर्यादित ही यादीजेव्हा ते विशेषाधिकार सोडतात आणि विशेषाधिकार नसलेल्या वापरकर्त्याद्वारे चालवले जातात. याचा अर्थ असा की जर एखाद्या आक्रमणकर्त्याने बफर ओव्हरफ्लो किंवा इतर शोषण वापरून एखाद्या प्रक्रियेशी तडजोड केली, तर ते प्रक्रियेला प्रत्यक्षात आवश्यक असलेल्या काही किमान विशेषाधिकारांशिवाय इतर कोणत्याही गोष्टीचा लाभ घेऊ शकणार नाहीत.

सामान्यत: नेहमी रूट म्हणून चालणाऱ्या सेवांसाठी परवानग्या उत्तम आहेत, परंतु कमांड लाइन युटिलिटीजचे काय? सुदैवाने, हे देखील समर्थित आहे जर तुमच्याकडे योग्य युटिलिटीज स्थापित केल्या असतील. जर तुम्ही उबंटू वापरत असाल, तर तुम्हाला पॅकेजची आवश्यकता असेल libcap2-bin. तुम्हाला पुरातन नसलेले कर्नल देखील चालवावे लागेल (आवृत्तीवरून 2.6.24).

ही फंक्शन्स SUID बिट सेट केल्याप्रमाणे, एक्झिक्यूटेबल फाइल्सशी संबंधित परवानगी देतात, परंतु केवळ विशिष्ट परवानग्यांसाठी. उपयुक्तता setcap फाइलमधील परवानग्या जोडण्यासाठी आणि काढण्यासाठी वापरला जातो.

पहिली पायरी म्हणजे तुम्हाला आवश्यक असलेल्या परवानग्या निवडणे. या लेखाच्या फायद्यासाठी, मी असे गृहीत धरत आहे की नेटवर्क डायग्नोस्टिक साधन आहे tracewalk, जे वापरण्यास सक्षम असावे कच्चे सॉकेट्स. यासाठी सहसा ॲप्लिकेशन रूट म्हणून चालवणे आवश्यक असते, परंतु पाहताना यादी फक्त परवानगी आवश्यक आहे CAP_NET_RAW.

आपण बायनरी स्थित असलेल्या निर्देशिकेत आहात असे गृहीत धरून tracewalk, तुम्ही ही परवानगी याप्रमाणे जोडू शकता:

sudo setcap cap_net_raw=eip tracewalk

सध्या प्रत्यय दुर्लक्षित करा =eip निराकरणासाठी, मी त्याबद्दल काही सेकंदात बोलेन. लक्षात ठेवा की परवानगीचे नाव लोअरकेसमध्ये आहे. तुम्ही आता तपासू शकता की तुम्ही परवानग्या योग्यरितीने कॉन्फिगर केल्या आहेत का:

setcap -v cap_new_raw=eip tracewalk

किंवा तुम्ही दिलेल्या एक्झिक्युटेबलसाठी सेट केलेल्या सर्व परवानग्या सूचीबद्ध करू शकता:

getcap tracewalk

संदर्भासाठी, तुम्ही यासह एक्झिक्युटेबलमधून सर्व परवानग्या काढू शकता:

setcap -r tracewalk

या टप्प्यावर, तुम्ही एक विशेषाधिकार नसलेले वापरकर्ता म्हणून एक्झिक्युटेबल चालवण्यास सक्षम असावे, आणि ते रॉ सॉकेट्ससह कार्य करण्यास सक्षम असावे, परंतु रूट वापरकर्त्याला असलेले इतर विशेषाधिकार नसावेत.

मग या विचित्र प्रत्ययाचा अर्थ काय? =eip? यासाठी परवानग्यांचे स्वरूप समजून घेणे आवश्यक आहे. प्रत्येक प्रक्रियेला परवानग्यांचे तीन संच असतात − प्रभावी, अनुवांशिक आणि परवानगी:

• प्रभावी परवानग्या म्हणजे प्रक्रिया प्रत्यक्षात काय करू शकते हे परिभाषित करतात. उदाहरणार्थ, ते कच्च्या सॉकेट्सशी व्यवहार करू शकत नाही जर CAP_NET_RAW प्रभावी संचात नाही.
• उपलब्ध परवानग्या म्हणजे ज्या प्रक्रियेला योग्य कॉल वापरून विनंती केल्यास परवानगी दिली जाते. ते परवानगीची विनंती करण्यासाठी विशेषतः लिहिल्याशिवाय प्रक्रियेस प्रत्यक्षात काहीही करण्यापासून प्रतिबंधित करतात. हे प्रत्यक्षात आवश्यक असलेल्या कालावधीसाठी प्रभावी सेटमध्ये गंभीर परवानग्या जोडण्यासाठी प्रक्रिया लिहिण्याची परवानगी देते.
• अनुवांशिक परवानग्या अशा आहेत ज्या जन्मलेल्या चाइल्ड प्रक्रियेच्या प्रवेशयोग्य सेटमध्ये वारशाने मिळू शकतात. शस्त्रक्रिया दरम्यान fork() किंवा clone() मूल प्रक्रियेला नेहमी पालक प्रक्रियेच्या परवानग्यांची एक प्रत दिली जाते कारण ती अजूनही त्याच वेळी एक्झिक्युटेबल चालू असते. जेव्हा इनहेरिटेबल संच वापरला जातो exec() (किंवा समतुल्य) एक्झिक्युटेबल फाइलला दुसर्‍यासह पुनर्स्थित करण्यासाठी म्हटले जाते. या टप्प्यावर, नवीन प्रक्रियेसाठी वापरल्या जाणार्‍या प्रवेशजोगी संच मिळविण्यासाठी प्रक्रियेचा उपलब्ध संच वारसा मिळणाऱ्या संचाद्वारे मास्क केला जातो.

त्यामुळे उपयुक्तता setcap दिलेल्या एक्झिक्युटेबलसाठी स्वतंत्रपणे या तीन सेटच्या परवानग्या जोडण्याची परवानगी देते. लक्षात घ्या की फाइल परवानग्यांसाठी गटांचा अर्थ थोडा वेगळा केला जातो:

• उपलब्ध फाईल परवानग्या अशा आहेत ज्या नेहमी एक्झिक्यूटेबल फाइलसाठी उपलब्ध असतात, जरी ते कॉल केलेल्या मूळ प्रक्रियेकडे त्या नसल्या तरीही. त्यांना "जबरदस्ती" परवाने म्हटले जायचे.
• वारसा मिळाला फाइल परवानग्या अतिरिक्त मास्क परिभाषित करतात ज्याचा वापर कॉलिंग प्रक्रियेच्या सेटमधून परवानग्या काढण्यासाठी देखील केला जाऊ शकतो. ते कॉलिंग प्रक्रियेच्या वारशाने मिळालेल्या संचाच्या व्यतिरिक्त लागू होतात, म्हणून परवानगी फक्त दोन्ही संचांमध्ये अस्तित्वात असल्यासच वारसाहक्क मिळते.
• प्रभावी फाइल परवानग्या प्रत्यक्षात फक्त एक बिट आहेत, सेट नाही, आणि जर सेट केला असेल, तर याचा अर्थ असा होतो की संपूर्ण उपलब्ध संच नवीन प्रक्रियेच्या प्रभावी सेटमध्ये कॉपी केला जातो. ज्या प्रक्रियांची विनंती करण्यासाठी विशेषत: लिहीले गेले नव्हते त्यांना परवानगी जोडण्यासाठी याचा वापर केला जाऊ शकतो. ते एक बिट असल्याने, तुम्ही कोणत्याही परवानगीसाठी सेट केल्यास, ते सर्व परवानग्यांसाठी सेट केले जाणे आवश्यक आहे. तुम्ही याला लीगेसी बिट म्हणून विचार करू शकता कारण ते समर्थन देत नसलेल्या ॲप्लिकेशन्सना परवानगी देण्यासाठी वापरला जातो.

द्वारे परवानग्या निर्दिष्ट करताना setcap तीन अक्षरे e, i и p पहा प्रभावी, अनुवांशिक आणि प्रवेशयोग्य अनुक्रमे सेट करते. तर, पूर्वीचे तपशील:

sudo setcap cap_net_raw=eip tracewalk

... ठराव सूचित करते CAP_NET_RAW उपलब्ध आणि इनहेरिटेबल सेटमध्ये जोडणे आवश्यक आहे आणि प्रभावी बिट देखील सेट करणे आवश्यक आहे. हे फाइलवर आधी सेट केलेल्या कोणत्याही परवानग्या ओव्हरराइड करेल. एकाच वेळी अनेक परवानग्या सेट करण्यासाठी, स्वल्पविरामाने विभक्त केलेली सूची वापरा:

sudo setcap cap_net_admin,cap_net_raw=eip tracewalk

परवानग्या मार्गदर्शक या सर्वांची अधिक तपशीलवार चर्चा करते, परंतु आशा आहे की या पोस्टने जे काही चालले आहे ते स्पष्ट केले आहे. उल्लेख करण्यासाठी फक्त काही सावधगिरी आणि युक्त्या शिल्लक आहेत.

प्रथम, फाइल क्षमता सिमलिंकसह कार्य करत नाहीत - तुम्हाला त्या बायनरी फाइलवर लागू कराव्या लागतील (म्हणजे सिमलिंकचे लक्ष्य).

दुसरे म्हणजे, ते व्याख्या केलेल्या स्क्रिप्टसह कार्य करत नाहीत. उदाहरणार्थ, जर तुमच्याकडे पायथन स्क्रिप्ट असेल ज्याला तुम्ही परवानगी देऊ इच्छित असाल, तर तुम्ही ती पायथन इंटरप्रिटरला नियुक्त केली पाहिजे. अर्थात ही एक संभाव्य सुरक्षितता समस्या आहे कारण नंतर त्या इंटरप्रिटरसह कार्यान्वित केलेल्या सर्व स्क्रिप्ट्सना निर्दिष्ट परवानगी असेल, जरी हे अद्याप SUID बनवण्यापेक्षा लक्षणीय आहे. सर्वात सामान्य उपाय म्हणजे C किंवा समतुल्य मध्ये स्वतंत्र एक्झिक्युटेबल लिहिणे आहे जे आवश्यक ऑपरेशन्स करू शकते आणि त्यास स्क्रिप्टमधून कॉल करू शकते. हे वायरशार्कद्वारे वापरल्या जाणार्‍या दृष्टिकोनासारखे आहे जे बायनरी वापरते /usr/bin/dumpcap विशेषाधिकारित ऑपरेशन्स करण्यासाठी:

$ getcap /usr/bin/dumpcap 
/usr/bin/dumpcap = cap_net_admin,cap_net_raw+eip

तिसरे, जर तुम्ही पर्यावरण व्हेरिएबल वापरत असाल तर फाइल परवानग्या अक्षम केल्या जातात LD_LIBRARY_PATH स्पष्ट सुरक्षा कारणांसाठी(1). लाही लागू होते LD_PRELOAD, माझ्या माहितीनुसार.

1. आक्रमणकर्ता स्पष्टपणे मानक लायब्ररींपैकी एक बदलू शकतो आणि वापरू शकतो LD_LIBRARY_PATHत्याच्या लायब्ररीला सिस्टीमच्या प्राधान्याने कॉल करण्यास भाग पाडणे आणि म्हणून कॉलिंग ऍप्लिकेशन सारख्याच विशेषाधिकारांसह स्वतःचा अनियंत्रित कोड कार्यान्वित करणे.

इतकंच. कोर्स प्रोग्रामबद्दल अधिक तपशील येथे आढळू शकतात वेबिनार, जो 24 जानेवारी रोजी होणार आहे.

स्त्रोत: www.habr.com