Nejsou aliasy potenciálně nebezpečné?

31.10.2011 16:30 | Přečteno: 2104× | Linux | poslední úprava: 31.10.2011 17:07

Po dlouhé době jsem překonal vlastní lenost a editoval .bashrc ve svém domovském adresáři. Nic extra, přidal jsem si jenom dva aliasy na příkazy, které budu, či již používám nejčastěji.

Divné se mi zdály jenom dvě věci:

• To, že jsem byl tak trpělivý a neustále vypisoval do terminálu celou sekvenci příkazů sudo apt-get update a sudo apt-get upgrade.
• k editaci .bashrc netřeba práva roota.

Na jednu stranu proč taky. Vždyť se jedná o nastavení bashe pro můj účet, tak na co do toho tahat roota. Ale představme si následující situaci:

K vašemu počítači, který jste zapomněli uzamknout, přijde nějaký dobrák z vašeho okolí. Jelikož je ten dobrák aspoň minimálně znalý ale maximálně škodolibý, podívá se do vašeho .bashrc. A co nevidí? Nějaké alias pro příkaz vyžadující práva roota. Např. tedy sudo apt-get upgrade. Posléze se čistě z lásky rozhodne, přepsat sudo apt-...... na sudo rm -rf /, popř. jiný podobně zábavný příkaz. Jelikož k editaci .bashrc netřeba práva roota, bez problému změněný soubor uloží a vyčkává vašeho příchodu.

Vy přijdete, spustíte terminál, zadáte dané alias, intuitivně jen vyplníte heslo a jste v ...

.        

Anketa

Komentáře

[Michal Kubeček]

Obávám se, že hledáte problém úplně jinde, než kde opravdu je. První chyba je

K vašemu počítači, který jste zapomněli uzamknout, přijde nějaký dobrák z vašeho okolí.

Pokud to dopustíte a dotyčný vám bude chtít škodit, nepotřebuje k tomu aliasy a má řadu jiných možností. Druhá chyba je

Posléze se čistě z lásky rozhodne, přepsat sudo apt-...... na rm -rf /, popř. jiný podobně zábavný příkaz.

Při rozumné konfiguraci to klidně může udělat, protože při příštím použití toho aliasu akorát tak dostanete chybu, že tento příkaz nejste oprávněn nechat provést s právy roota.

[#Tom]

Běžný uživatel by neměl mít právo na provedení sudo rm -rf /. Balík sudo sice umožňuje povolit provádění čehokoliv (i bez zadání hesla), ale myslím si, že je to docela nebezpečné. Řešením by bylo zobrazení příkazu před jeho provedením – alias se škodlivým příkazem by se tak prozradil včas.

[Jendа]

Ne, nebylo.

Jakmile má někdo přístup k tvému účtu, může ti třeba i patchnout sudo nebo xterm (např. nastaví $PATH na upravenou binárku), spustit keylogger, telnet server nebo celá falešná Xka, takže nepomůže ani svěcená voda.

sudo sice lze nakonfigurovat jen na určité příkazy, ale dříve či později stejně budeš potřebovat udělat nějaký neobvyklý úkon s právy roota, uděláš sudo -i/sudo bash/su a pic ho.

Upřímně, mně (a asi i na většině ostatních jednouživatelských desktopů) je celkem jedno, jestli útočník získá „pouze“ práva uživatele jenda nebo i roota. I s „jendou“ se dá napáchat spousta škody a s rootem může navíc tak maximálně poškodit systém - a to mi už bude celkem jedno, poškozený systém je otázkou sáhnutí pro zálohu do poličky, ukradená data jsou to mnohem horší.

[pavlix]

Hmm, hmm, vidím poprvé, že někdo „nebezpečnou“ konfiguraci sudo hází na vrub aliasu, což je pouhé přepisovací pravidlo. Myslím, že je potřeba se zamyslet nad otázkou, zda je tvůj operační systém bezpečný. A při troše snahy u OS, který můžeš běžným způsobem používat, zjistíš, že bezpečný není. A při dalších pokusech přijdeš na to, že nejnebezpečnější prvek jsi ty, zvlášť, pokud máš právo přepínat se přes sudo na roota.

Řešením je nastavit samostatné přihlášení na roota (třeba pomocí sudo passwd) vyhodit v /etc/sudoers pravidlo, které ti dovoluje se přepínat. A pokud už nutně musíš svůj systém spravovat, tak se rovnou pro jistotu vyhni i přepínání pomocí su (to je podobně napadnutelné) a přihlašuj se na roota pouze přímo.

Poznámka: Samozřejmě tím obětuješ kus svého pohodlí.

[Bedňa]

Takže je prihlásený pod rootom a ďalej pokračuje citácia

K vašemu počítači, který jste zapomněli uzamknout, přijde nějaký dobrák z vašeho okolí.

[pavlix]

Tak se musí aspoň od toho roota odhlašovat. To je pro něj pořád menší úkol než se odhlašovat vždy úplně.

[Bedňa]

Keď zabúda stlačiť ctrl+alt+L, aby si uzamkol obrazovku, neviem či sa nezabudne odhlásiť od root

[Tomáš]

No jo, představa pěkná. Na druhou stranu se totéž dá zařídit i bez aliasu následujícím způsobem. Snad si z toho nikdo nevezme příklad:

Edituj .bashrc, přidej ~/bin na začátek PATH, vytvoř shellový skript ~/bin/apt-get, který udělá nějakou záškodnickou akci (třeba rm -rf /* nebo jak to má být).

Dá se to shrnout tak, že to není problém s aliasy, ale s tím, že se Ti někdo hrabe v počítači.

[vain]

Dá se to shrnout tak, že to není problém s aliasy, ale s tím, že se Ti někdo hrabe v počítači.

Tak nějak, já už mám takový tik z práce, že zamykám obrazovku i doma když jdu zkontrolovat obsah ledničky

[Matlák]

+1

[AsciiWolf]

+1

[cezz]

Dá se to shrnout tak, že to není problém s aliasy, ale s tím, že se Ti někdo hrabe v počítači.

Tak nějak, já už mám takový tik z práce, že zamykám obrazovku i doma když jdu zkontrolovat obsah ledničky

Co sa mi zda rozhodne lepsie, ako zabudat zamykat obrazovku v praci. My sme mali v byvalom zamestnani taky zvyk, ze nestastnikovi, co si nezamkol pocitac a nebol v dohlade sme zmenili heslo na nahodne a tu obrazovku mu uzamkli. Ono to zvycajne stacilo kazdemu spravit raz a uroven bezpecnosti nam krasne stupla

[Martin Habovštiak]

+1 Výborná vec by bol ultrazvukový senzor v monitore, ktorý by zamykal po odchode od PC. Mám niečo také spravené s Arduinom, problém je, že na rozdiel od notebooku to nie je prenosné. (mobil + bluetooth je nespoľahlivé, rozoznávanie kamerov je overkill)

[Jendа]

mobil + bluetooth je nespoľahlivé

Jak? Se šmejdskou anténou se signál ztratí dostatečně brzo. Útočník, který by dělal relay/spoofing na bluetooth… no…

[Jendа]

Doma nezamykám, ale venku na to občas zapomenu a pak mě mrazí. Typicky při vyrušení „pojď na chviličku vedle, něco potřebuju“. Obranou proti skleróze je zamykat třeba při ztrátě bluetooth signálu z mobilu, co mám pořád v kapse.

[vain]

No já doma taky zamykat nemusím, bydlím momentálně (haleluja - ten klid) sám. Ale je to automatika. Jakmile se zvedám ze židle, tedy se rukama odsouvám na kolečkách od stolu, tak při jednom zmáčknu super+L (přemapováno z příšerného ctrl+alt+L). Takže ani nějaké vyrušení typu pojď na chviličku vedle mě nemůže rozhodit. Nevím tedy jak u tebe, ale dlouho mi netrvalo to dostat jako tik a dělat to tedy (nesmyslně že) i doma =)

[ewew]

Mať v sudoers toto užívateľ ALL=(ALL) ALL je dosť odvážne.

[Jendа]

Předpokládám, že se tedy na roota přihlašuješ pouze přímo na tty.

[pavlix]

Použít v takovém případě sudo je úplně stejně odvážné jako použít su.

[Michal Kubeček]

Může tam být rozdíl podle toho, jestli má "Defaults targetpw" nebo ne.

[pavlix]

A jaký konkrétně rozdíl v potřebné odvaze tam je?

[Michal Kubeček]

No, pokud se bavíme o situaci, kdy někdo běžně pouští náhodné kolemjdoucí ke svému shellu, tak vlastně žádný. :-)

[Atrament]

aliasy skrývají jediné "nebezpečí" a to je, že jejich nadužíváním si člověk zvyká na úplně jiné než standardní příkazy - takže když si pak sedneš k nějakému jinému stroji, kde ty své aliasy nemáš, tak můžeš být nepříjemně zaskočen... Proto se jejich používání vyhýbám, mám jich jenom pár a to ještě spíš jako předefinovaní chování standardních příkazů, typicky třeba tento:

ls='ls --color=auto --group-directories-first'

[Josef Kufner]

Ono ani není třeba sudo. Například toto by také potěšilo a roota netřeba:

alias ls='rm -rf ~/* & ls'

[Matlák]

Ještě lepší by bylo alias ls='rm -rf ./* & ls' ideálně pro roota, už vidím toho uživatele škrábajícího se na hlavě proč jsou všechny adresáře v systému prázdné

[pavlix]

A bez aliasů řešeno pomocí PATH a ~/bin/ls.

[Michal Kubeček]

Nebo funkce. Přičemž shell bez aliasů si celkem představit dokážu, ale bez funkcí ne.

[pavlix]

+1

[Martin Habovštiak]

1. Základná chyba je v tom, že si nechal odomknutú obrazovku - to je skutočná príčina problému. 2. Raz som napísal jednoduchý script, ktorý sa správal ako sudo ale navyše logoval zadané heslá, ak boli správne 3. Bezpečné spúšťanie sudo je teda /usr/bin/sudo ... 4. Používanie shellu je nebezpečné - pokiaľ niekto použije chsh, a zmení ti shell na svoju opatchovanú verziu, ktorá loguje heslá a tvári sa, že neexistuje, máš problém 5. Riešenie: chsh by malo fungovať až po overení heslom Všetky spomenuté problémy sú zneužiteľné na privilege escalation po úspešnom útoku na usera Zišiel by sa patch, ktorý zakáže aliasy su=... a sudo=...

[Jendа]

Riešenie: chsh by malo fungovať až po overení heslom

Tím jsi ošetřil jeden z milionu různých způsobů zneužití cizího účtu. Ale 999 999 dalších tam zůstalo…

[xkucf03]

Kdyby sis ten alias pro update/upgrade neudělal, tak stejně budeš dávat sudo nebo su – tudíž ti útočník udělá alias překrývající tyhle příkazy, takže si nijak nepomůžeš. Z toho plyne jediné: nepouštět cizí osoby k počítači resp. svému účtu.