POSIX 기능 확산 방지

Question 1

setcap방금 활성화한 사용자 에게 사용을 예약하려면 sudo여기에 기능을 추가할 필요가 없습니다. 그냥 해.

신뢰할 수 있는 사용자에 대해 알고 있는 경우 이 기능을 사용하는 데는 두 가지 옵션이 있습니다. 또한 자신이 능력 있는 것처럼 보이고 싶은 경우 패키지 파일 등을 포함하여 세 번째 옵션도 포함했습니다.

로컬 복사본을 만들고 setcap공개 그룹(건축업자) 사용자에게 허용된 기능을 제공합니다. 이는 이 그룹의 사용자 구성원이 올바르게 행동할 것을 신뢰합니다.

$ cp $(which setcap) ./builder-setcap
$ sudo chgrp builders ./builder-setcap
$ chmod 0750 ./builder-setcap
$ sudo ./builder-setcap cap_setfcap=p ./builder-setcap

사용상속 가능한builder-setcap권한을 가지고 실행될 수 있는 사람을 제한하는 파일 기능입니다 . 실제로 런타임에 해당 권한을 얻으려면 또 다른 단계가 필요합니다(어떤 방식으로든 실행 중인 사용자가 프로세스를 사전 획득함).상속 가능한capsh또는 같은 능력pam_cap.so). 이 메커니즘은 빌드 시스템 주변의 래퍼일 수 있습니다. 다음과 같이 진행 됩니다 capsh.

$ cp $(which setcap) ./builder-setcap
$ sudo chgrp builders ./builder-setcap
$ chmod 0750 ./builder-setcap
$ sudo ./builder-setcap cap_setfcap=i ./builder-setcap
$ sudo capsh --user=$(whoami) --inh=cap_setfcap --
... $ # in this shell cap_setfcap is available to ./builder-setcap

세 번째 메커니즘은 사용자 네임스페이스 컨테이너를 사용하는 것입니다. 그러한 컨테이너 안에는 잘못된 특권 개념과 잘못된 개념이 있습니다.뿌리사용자. 이 환경에서는 권한이 없는 사용자가뿌리이 컨테이너에 대해 간단히 다음을 호출하여 setcap잘못된 기능을 제공할 수 있습니다 .

$ unshare -Ur
... $ id
uid=0(root) gid=0(root) groups=0(root),65534(nobody)
... $ cp $(which setcap) builder-setcap
... $ ./builder-setcap cap_setfcap=p ./builder-setcap

마지막 경우 파일 기능은 컨테이너 내부에서 작동하지만 컨테이너를 종료한 후에는 작동합니다. 기능이 활성화된 파일에는 실제로 기능이 없습니다.

... $ exit
$ getcap -n ./builder-setcap 
./builder-setcap cap_setfcap=p [rootid=1000]

여기의 매개변수는 -n사용자 네임스페이스 루트 ID를 나타냅니다. 네임스페이스 외부에는 다음과 같이 파일에 실제로 파일 기능이 없다는 것을 알 수 있습니다.

$ ./builder-setcap -r builder-setcap 
unable to set CAP_SETFCAP effective capability: Operation not permitted

당신이 원하는 것에 대한 가장 실현 가능한 접근 방식은 기능적으로 접근 방식 2와 동일한 빌드 호출 래퍼를 직접 작성하고 sudo capsh --user=$(whoami) --inh=cap_setfcap -- -c 'exec builder'접근 방식 2에 따라 바이너리를 준비하는 것입니다.builder-setcap

물론, builder-setcap특정 기능은 부여하고 다른 기능은 부여하지 않으려면 자신만의 버전을 작성하여 부여하려는 파일 기능을 필터링할 수도 있습니다. 전체 코드 복잡성 setcap은 다음과 같습니다.꽤 작은.

Answer