क्याप्सुडो प्रस्तुत गर्दै, वस्तु-स्तर विशेषाधिकार विभाजनको साथ एक सुडो संस्करण

एरियाडने कोनिल, अडेसियस म्युजिक प्लेयर र वेब्याक कम्पोजिट सर्भरका निर्माता, IRCv3 प्रोटोकल इनिसिएटर, र अल्पाइन सुरक्षा टोली नेता Linux, развивает инструментарий capsudo для выполнению команд с повышенными привилегиями. В отличие от sudo в новом проекте задействована модель предоставления полномочий на уровне отдельных объектов (object-capability). Код проекта написан на языке Си и распространяется под лицензией MIT.

नयाँ टुलकिटले सम्बोधन गर्ने प्रयास गर्ने sudo का कमजोरीहरू मध्ये suid root झण्डा सहितको कार्यान्वयनयोग्य फाइलको रूपमा यसको डेलिभरी; विशेषाधिकार विभाजन बिनाको एकाधिकार वास्तुकला (सबै sudo कार्यक्षमता रूट विशेषाधिकारहरूसँग कार्यान्वयन गरिन्छ); एक जटिल, गैर-पदाधिकारिक, र गैर-घोषणाकृत कन्फिगरेसन ढाँचा; विशेषाधिकार प्राप्त प्रक्रियामा सिधै चल्ने प्लगइनहरूको लागि समर्थन; र ठूलो आक्रमण सतहको साथ फुलिएको कोडबेस समावेश छ।

मोनोलिथिक सुडो उपयोगिता प्रयोग गर्नुको सट्टा, क्याप्सुडोले विशेषाधिकार प्राप्त पृष्ठभूमि प्रक्रिया, क्याप्सुडो, र विशेषाधिकार नपाएको उपयोगिता, क्याप्सुडोको एक समूह प्रयोग गर्दछ। क्याप्सुडो र क्याप्सुडो बीचको सञ्चार सकेट फाइल मार्फत हुन्छ, र विशेषाधिकार प्राप्त आदेश कार्यान्वयन सकेटको पहुँच अधिकारहरूद्वारा निर्धारण गरिन्छ। सकेटमा पहुँच भएका प्रयोगकर्ताहरूले मात्र यसमा बाँधिएका विशेषाधिकार प्राप्त आदेशहरू कार्यान्वयन गर्न सक्छन्। यस दृष्टिकोणको एउटा कमजोरी भनेको प्रत्येक विशेषाधिकार प्राप्त अपरेशनको कार्यान्वयन समन्वय गर्न छुट्टै पृष्ठभूमि प्रक्रियाको आवश्यकता हो।

उदाहरणका लागि, प्रयोगकर्तालाई उच्च विशेषाधिकारहरू सहित रिबुट उपयोगिता चलाउने क्षमता प्रदान गर्न, प्रशासकले प्रयोगकर्ताको गृह निर्देशिकामा "रिबुट-क्षमता" सकेट सिर्जना गर्न सक्छ, यसलाई रिबुट उपयोगितामा बाँध्न सक्छ, र इच्छित प्रयोगकर्तालाई सकेटमा लेख्ने पहुँच प्रतिबन्धित गर्न सक्छ। त्यसपछि प्रयोगकर्ताले "capsudo -s reboot-capability" चलाएर रिबुट आदेश चलाउन सक्छ। # capsudod -s /home/user/reboot-capability reboot & # chown user:user /home/user/reboot-capability # chmod 700 /home/user/reboot-capability आदेशको साथ रिबुट चलाउनुहोस्: $ capsudo -s /home/user/reboot-capability

sudo को व्यवहार दोहोर्याउन र ह्वील समूहका प्रयोगकर्ताहरूका लागि उच्च विशेषाधिकारहरू सहित कुनै पनि अनुप्रयोग चलाउन अनुमति दिन, तपाईंले निम्न सेटिङहरू प्रयोग गर्न सक्नुहुन्छ: # mkdir -p /run/cap # capsudod -s /run/cap/sudo-capability & # chgrp wheel /run/cap/sudo-capability # chmod 770 /run/cap/sudo-capability $ capsudo -s /run/cap/sudo-capability

/usr/sbin/mount /dev/sdb1 आदेशको विशेषाधिकार प्राप्त रनका लागि सेटिङहरूको उदाहरण: # capsudod -s /run/user/mountd/cap/mount-dev-sdb1 — /usr/sbin/mount /dev/sdb1 … सकेटमा पहुँच अधिकार सेट गर्दै /run/user/mountd/cap/mount-dev-sdb1 लाई /media/usb मा अनप्रिभिलेज्ड प्रयोगकर्ताको रूपमा माउन्ट गर्दै $ capsudo -s /run/user/mountd/cap/mount-dev-sdb1 — /media/usb

स्रोत: opennet.ru