Filbehörigheter i Linux

Hej allesammans. Vi integrerar oss aktivt i arbetet och förbereder redan många kraftfulla lanseringar i januari. Bland annat har vi utlyst ett nytt program av den populära kursen. «Linuxadministratör». I samband med lanseringen delar vi traditionellt med oss av en översättning av användbart material.

Filbehörigheter erbjuder ett säkert alternativ till SUID-exekverbara filer, men kan vid första anblicken verka något förvirrande.

Vi vet alla att binära filer SUID är en dålig lösning ur ett säkerhetsperspektiv. Lyckligtvis, om din applikation kräver vissa begränsade privilegier, finns det ett mer effektivt sätt, kallat filbehörigheter.

Jag sparar tid för dig om du vill undvika att noggrant läsa artikeln ovan: i grunden tillåter filbehörigheter processer som körs av root-användaren och därmed har rätt att göra något, att behålla vissa möjligheter, begränsade till denna lista, när de avsäger sig privilegier och körs som en icke-privilegierad användare. Detta innebär att om en angripare lyckas kompromettera en process genom en buffertöverföring eller annan sårbarhet, så kan de inte utnyttja något annat än de specifika minimala privilegier som verkligen behövs för processen.

Behörigheter är utmärkta för tjänster som vanligtvis alltid körs som root-användare, men hur är det med kommandoradsverktyg? Lyckligtvis stöds det också så länge du har de rätta verktygen installerade. Om du använder Ubuntu, behöver du till exempel paketet libcap2-bin. Du måste också köra en icke-ålderdomlig kärna (från och med version 2.6.24).

Dessa funktioner möjliggör koppling av behörigheter till exekverbara filer på samma sätt som att ställa in SUID-bit, men endast för en specifik uppsättning behörigheter. Verktyget setcap används för att lägga till och ta bort behörigheter från en fil.

Det första steget är att välja de behörigheter du behöver. För denna artikel antar jag att det finns ett nätverksdiagnosverktyg som kallas tracewalk, som bör kunna använda råa sockets. Vanligtvis krävs det att applikationen körs som root-användare, men när man granskar listan det visar sig att endast behörighet krävs CAP_NET_RAW.

Förutsatt att du befinner dig i katalogen där den körbara filen ligger tracewalk, kan du lägga till denna behörighet på följande sätt:

sudo setcap cap_net_raw=eip tracewalk

Ignorera för tillfället suffixet =eip för behörigheten, jag kommer att förklara detta om en sekund. Observera att namnet på behörigheten är i små bokstäver. Nu kan du kontrollera om du har konfigurerat behörigheterna korrekt med:

setcap -v cap_new_raw=eip tracewalk

Eller så kan du lista alla behörigheter som har ställts in för den angivna körbara filen:

getcap tracewalk

För information kan du också ta bort alla behörigheter från den körbara filen med:

setcap -r tracewalk

Vid det här laget bör du kunna köra den körbara filen som en icke-privilegierad användare, och den bör kunna arbeta med råa sockets, men utan några andra privilegier som root-användaren har.

Så vad betyder detta konstiga suffix =eip? Здесь потребуется толика понимания природы разрешений. Каждый процесс имеет три набора разрешений — effektiva, ärvda och tillåtna (effective, inheritable och permitted):

• Effektiva (Effective) behörigheter är de som definierar vad processen faktiskt kan göra. Till exempel kan den inte interagera med råa sockets om CAP_NET_RAW det inte finns i den effektiva uppsättningen.
• Tillåtna (Permitted) behörigheter är de som en process har tillstånd att ha, om den begär dem med hjälp av det relevanta anropet. De tillåter inte att processen faktiskt gör något, om den inte har skrivits specifikt för att begära den angivna behörigheten. Detta möjliggör för processer att lägga till särskilt viktiga behörigheter till den effektiva uppsättningen endast under den tidsperiod de faktiskt behövs.
• Ärvda (Inheritable) behörigheter är de som kan ärvas i den tillåtna uppsättningen av den avkommande processen. Under operationen fork() eller clone() får den avkommande processen alltid en kopia av behörigheterna från den överordnade processen, eftersom den vid denna tidpunkt fortfarande kör samma körbara fil. Den ärvda uppsättningen används när exec() (eller motsvarande) anropas för att byta ut den körbara filen mot en annan. Vid detta tillfälle maskeras den tillåtna uppsättningen för processen av den ärvda uppsättningen för att få den tillåtna uppsättning som ska användas för den nya processen.

Således är verktyget setcap möjliggör för oss att lägga till behörigheterna för dessa tre uppsättningar oberoende för den angivna körfilen. Observera att gruppens värde tolkas något annorlunda för filbehörigheter:

• Tillgängliga filbehörigheter är de som alltid är tillgängliga för körfilen, även om den överordnade processen som anropade den inte hade dem. De kallades tidigare "tvingande" behörigheter.
• Ärvda filbehörigheterna definierar en extra mask som också kan användas för att ta bort behörigheter från den anropande processens uppsättning. De tillämpas ovanpå den överordnade uppsättningen från den anropande processen, så behörigheten ärver bara om den finns i båda uppsättningarna.
• Effektiva filbehörigheter är faktiskt bara en bit, inte en uppsättning, och om den är inställd betyder det att hela den tillgängliga uppsättningen också kopieras till den effektiva uppsättningen för den nya processen. Detta kan användas för att lägga till behörigheter till processer som inte specifikt är skrivna för att begära dem. Eftersom detta är en bit, om du ställer in den för någon behörighet, måste den ställas in för alla behörigheter. Du kan tänka på den som en legacy-bit eftersom den används för att tillåta användning av behörigheter för applikationer som inte stöder dem.

När behörigheter anges via setcap tre bokstäver e, i och p syftar på effektiv, ärvd och tillgänglig uppsättningar respektive. Så den tidigare specifikationen:

sudo setcap cap_net_raw=eip tracewalk

... anger att behörigheten CAP_NET_RAW måste läggas till de tillgängliga och ärvda uppsättningarna och att även den effektiva biten bör ställas in. Detta kommer att ersätta eventuella tidigare inställda behörigheter i filen. För att ställa in flera behörigheter samtidigt, använd en lista genom kommatecken:

sudo setcap cap_net_admin,cap_net_raw=eip tracewalk

Guide till behörigheter diskuterar allt detta mer ingående, men förhoppningsvis har detta inlägg avmystifierat vad som pågår något. Det återstår bara att nämna några varningar och fällor.

För det första fungerar inte filbehörigheterna med symlänkar – du måste tillämpa dem på den själva binära filen (dvs. målet för symlänken).

För det andra fungerar de inte med tolkade skript. Om du till exempel har ett Python-skript som du vill ge behörighet, måste du ge det till Python-tolken själv. Det är uppenbart att detta är ett potentiellt säkerhetsproblem, eftersom då alla skript som körs med denna tolk kommer att ha den angivna behörigheten, även om det fortfarande är betydligt bättre än att använda SUID. Den vanligaste arbetsvägen verkar vara att skriva en separat körbar fil i C eller en liknande, som kan utföra de nödvändiga operationerna och anropas från skriptet. Detta liknar den metod som används av Wireshark, som använder en binär fil. /usr/bin/dumpcap för att utföra privilegierade operationer:

$ getcap /usr/bin/dumpcap 
/usr/bin/dumpcap = cap_net_admin,cap_net_raw+eip

För det tredje inaktiveras filbehörigheter om du använder en miljövariabel LD_LIBRARY_PATH av uppenbara säkerhetsskäl(1). Detsamma gäller för LD_PRELOAD, såvitt jag vet.

1. Eftersom en angripare uppenbarligen kan byta ut ett av de standardbibliotek som används och använda LD_LIBRARY_PATH, för att få sitt bibliotek att anropas i stället för systemet, och därmed få sin egen godtyckliga kod att köras med samma privilegier som det anropande programmet.

Det är allt. Mer information om kursprogrammet kan fås på webbinariet som äger rum den 24 januari.

Källa: habr.com