{"id":55251,"date":"2020-01-16T00:00:00","date_gmt":"2020-01-15T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/fajlovye-razresheniya-v-linux"},"modified":"2020-02-18T14:03:21","modified_gmt":"2020-02-18T11:03:21","slug":"fajlovye-razresheniya-v-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/no\/blog\/administrirovanie\/fajlovye-razresheniya-v-linux","title":{"rendered":"Filrettigheter i Linux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Hei alle sammen. Vi er i gang med arbeidet og forbereder mange kraftige lanseringer allerede i januar. Blant annet har vi annonsert oppstart av et nytt kull av den popul\u00e6re kursen. \u00abLinux-administrator\u00bb<\/a><\/noindex>. I forkant av lanseringen deler vi tradisjonelt oversettelsen av nyttig materiale.<\/i><\/p>\n

\"Filrettigheter
\n<\/p>\n

Filrettigheter tilbyr et sikkert alternativ til SUID-kj\u00f8rbare filer, men kan virke litt forvirrende ved f\u00f8rste \u00f8yekast.<\/i><\/p><\/blockquote>\n

<\/a><\/noindex>
\nVi vet alle at bin\u00e6re filer SUID<\/a><\/noindex> er er en d\u00e5rlig l\u00f8sning sett fra et sikkerhetssynspunkt.<\/a><\/noindex>. Heldigvis finnes det en mer effektiv m\u00e5te hvis applikasjonen din trenger noe begrensede privilegier, kjent som filrettigheter.<\/a><\/noindex>.<\/p>\n

Jeg vil spare deg for tid hvis du \u00f8nsker \u00e5 unng\u00e5 en detaljert gjennomlesning av artikkelen ovenfor: i essens tillater filrettigheter prosesser som kj\u00f8res p\u00e5 vegne av root-brukeren og som derfor har rett til \u00e5 gj\u00f8re hva som helst, \u00e5 beholde visse muligheter, begrenset til denne listen<\/a><\/noindex>, n\u00e5r de senker privilegiene og kj\u00f8rer som en ikke-privilegert bruker. Dette betyr at hvis en angriper klarer \u00e5 kompromittere prosessen ved hjelp av en buffer-overflow eller et annet utnyttelse, s\u00e5 vil de ikke kunne utnytte noe annet enn de bestemte minimale privilegiene som prosessen faktisk trenger.<\/p>\n

Rettigheter passer godt for tjenester som vanligvis alltid kj\u00f8rer p\u00e5 vegne av root-brukeren, men hva med kommandolinjeverkt\u00f8y? Heldigvis st\u00f8ttes dette ogs\u00e5, forutsatt at du har de riktige verkt\u00f8yene installert. Hvis du bruker Ubuntu, for eksempel, trenger du pakken libcap2-bin<\/code>. Du m\u00e5 ogs\u00e5 bruke et moderne kjernestyresystem (fra versjon 2.6.24<\/b>).<\/p>\n

). Disse funksjonene lar deg knytte rettigheter til utf\u00f8rbare filer p\u00e5 samme m\u00e5te som du konfigurerer SUID-biten, men kun for et bestemt sett av rettigheter. Verkt\u00f8yet setcap<\/code> brukes til \u00e5 legge til og fjerne rettigheter fra en fil.<\/p>\n

Det f\u00f8rste steget er \u00e5 velge de rettighetene du trenger. For denne artikkelen antar jeg at det finnes et nettverksdiagnoseverkt\u00f8y kalt tracewalk<\/code>, som skal kunne bruke r\u00e5 sokler.<\/a><\/noindex>Vanligvis krever dette at applikasjonen kj\u00f8res p\u00e5 vegne av root-brukeren, men n\u00e5r man ser p\u00e5 listen <\/a><\/noindex>, viser det seg at det bare kreves rettighetene CAP_NET_RAW.<\/code>.<\/p>\n

Forutsett at du er i katalogen hvor den bin\u00e6re filen ligger, tracewalk<\/code>kan du legge til denne tillatelsen p\u00e5 f\u00f8lgende m\u00e5te:<\/p>\n

sudo setcap cap_net_raw=eip tracewalk<\/code><\/pre>\n
\nIgnorer suffikset =eip<\/code> for tillatelsen, jeg skal forklare dette om et \u00f8yeblikk. Legg merke til at navnet p\u00e5 tillatelsen er skrevet med sm\u00e5 bokstaver. N\u00e5 kan du sjekke om du har konfigurert tillatelsene riktig, med:<\/p>\n
setcap -v cap_new_raw=eip tracewalk<\/code><\/pre>\n
\nEller du kan liste opp alle tillatelsene som er satt for den aktuelle kj\u00f8rbare filen:<\/p>\n
getcap tracewalk\n<\/code><\/pre>\n
\nTil referanse kan du ogs\u00e5 fjerne alle tillatelser fra den kj\u00f8rbare filen med:<\/p>\n
setcap -r tracewalk<\/code><\/pre>\n
\nP\u00e5 dette tidspunktet skal du kunne kj\u00f8re den kj\u00f8rbare filen som en ikke-privilegert bruker, og den skal kunne h\u00e5ndtere r\u00e5 sokler, men ikke ha noen andre privilegier som root-brukeren har.<\/p>\n
S\u00e5 hva betyr dette merkelige suffikset =eip<\/code>? \u0417\u0434\u0435\u0441\u044c \u043f\u043e\u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f \u0442\u043e\u043b\u0438\u043a\u0430 \u043f\u043e\u043d\u0438\u043c\u0430\u043d\u0438\u044f \u043f\u0440\u0438\u0440\u043e\u0434\u044b \u0440\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0438\u0439. \u041a\u0430\u0436\u0434\u044b\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0438\u043c\u0435\u0435\u0442 \u0442\u0440\u0438 \u043d\u0430\u0431\u043e\u0440\u0430 \u0440\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0438\u0439 \u2014 effektive, arvelige og tillatte (effective, inheritable og permitted)<\/i>:<\/p>\n