Solaris: skrytí cizích procesů před uživatelem

26.2.2006 18:45 | Přečteno: 1465× | Unix

Na serverech s Linuxem jsem si zvykl používat grsecurity patch. Pomocí grsecuity patche je možné zlepšit zabezpečení systému, patch také umí nastavit práva na adresář /proc tak, že neprivilegovaný uživatel vidí jen své procesy. Tato funkce se mi docela líbí i na pracovní stanici, protože přináší trochu víc soukromí pokud počítač používá víc lidí najednou. Doma mám stroj se Solarisem a tuto funkci jsem si chtěl nastavit i na něm. Následující text je platný pro Solaris 10, je jedno jestli jde o platformu SPARC nebo x86.

Pokud si jako běžný uživatel vypíšete seznam procesů na počítači například pomocí příkazu ps -ef, uvidíte všechny procesy všech ostatních uživatelů. V Solarisu 10 je možné nastavit oprávnění procesů v systému no a toho využijeme i v tomto případě.

V souboru /etc/security/policy.conf je třeba odkomentovat řádek s PRIV_DEFAULT a doplnit do tvaru

PRIV_DEFAULT=basic,!proc_info

. Po této úpravě uvidíte jako běžný uživatel pouze své procesy, jako root samozřejmě vidíte všechno.

tsunami@draslik:~$ id
uid=100(tsunami) gid=100(users)
tsunami@draslik:~$ ps -efa
     UID   PID  PPID   C    STIME TTY         TIME CMD
 tsunami   762   754   0 18:15:21 pts/3       0:00 bash
 tsunami   752   749   0 18:15:19 ?           0:00 /usr/lib/ssh/sshd
 tsunami   754   752   0 18:15:19 pts/3       0:00 -bash
 tsunami   772   762   0 18:25:15 pts/3       0:00 ps -efa

Popis volby proc_info získáte pomocí příkazu ppriv:

root@draslik:~# ppriv -l -v proc_info
proc_info
        Allows a process to examine the status of processes other
        than those it can send signals to.  Processes which cannot
        be examined cannot be seen in /proc and appear not to exist.

Nastavení provedené v souboru /etc/security/policy.conf je globální. Pokud potřebujete upravit nastavení pro jednotlivé uživatele, použijte soubor /etc/user_attr.

Odkazy na zdroje dalších informací:

• Dokumentace k OS Solaris 10
• Solaris 10 System Administrator Collection >> System Administration Guide: Security Services >> Roles, Rights Profiles, and Privileges

       

Komentáře

[©]

Hm, kdy uz tohleto budeme mit v jadre bez nutnosti patchovani!

[JiK]

Neni to trochu blbost, mit neco takoveho defaultne v jadru OS? myslim, ze videt cizi procesy je dobre trebas proto, ze se pripojim na server, pojede to extremne pomalu a ja si dam ps abych vedel, ze tam ma nekdo nejaky delsi vypocet, ktery zere CPU, a proto to budu brat jako normalni a nebudu buzerovat roota aby to resil.

Proto snad existuje ps, abych videl co na danem stroji bezi a choval se podle toho, ne?

[©]

Kdyby mi nejaky uzivatel napsal treba: "Jee, ty paris Enemy Territory!", pak by mi to bylo velmi neprijemne. Ja take necumim cizim lidem do bytu co delaji. Stejne se to IMHO ma mit i s prostorem na serveru. Je to prostor jako kazdy jiny. Nejlepsi by bylo, kdyby si kazdy mohl nekde v ~/.userspacerc nastavit neco jako: SHOW_MY_PROCESSES_TO_OTHERS="no". Mohl by se o to starat klidne i nejaky daemon, to uz je vec implementace. Ale melo by to jit. Kdyz mi nekdo cuci do okna, pak si zatahnu zaclony a mam klid. Kdyz prijde policie se soudni obsilkou (root), pak mam holt smulu. Tak to je a byl bych rad, kdyby to bylo stejne i ve virtualnim svete...

[VícNežNic]

Já bych to tedy přivítal. I ve FreeBSD to jde.

[©]

Tak, ted zbyva jediny dotaz: je tu nejaky kernel hacker, ktery by to zvadl rozumne implementovat a zaradit do Linuxu?

[©]

Jeste bych dodal, ze by nebylo od veci, aby se treba uzivatele navzajem VUBEC nevideli! Jsou situace, kdy je to proste nutne...

[Zdeněk Burda]

Pro běžného uživatele bych omezil /proc úplně na minimum (nebo i rovnou sebral). Nevidím důvod k tomu aby viděl informace o HW, ostatních procesech a podobně. Pokud něco takového potřebuje, tak mu potřebné oprávnění přidělí admin.

[©]

Zalezi na situaci. Nekde je dobre to explicitne zakazat u vsech a povolovat vyjimky, nekde explicitne povolit u vsech s tim, ze by si sami mohli o tom rozhodnout (procesy, zalogovani do systemu).

[Käyttäjä 11133]

To my chceš říct, že se mám kvůli všemu relogionovat na roota jo? Třeba když budu chtít na notebooku zjistit kolik mi ještě zbývá baterky.

[Zdeněk Burda]

Tak si při instalaci nastavíš, že uživatel m4r3k má mit taková a taková oprávnění a je to. Copak teď ses nepřidal do skupin cdrom, audio, video abys mohl vypalovat, poslouchat hudbu a užívat si 3D akcelerace?

[VícNežNic]

Na notebooku je samozřejmě smysluplné, aby přístup k informaci o tom kolik zbývá baterie měli všichni. Ovšem už není nutné, aby každý hloupý uživatel na serveru viděl kolik běží procesů, jak je zaplněná paměť, kolik je volného místa na disku…

Ne každý Linux beží na notebooku.

[Luboš Doležel (Doli)]

Ovšem už není nutné, aby každý hloupý uživatel na serveru viděl kolik běží procesů, jak je zaplněná paměť, kolik je volného místa na disku…

To mi přijde normální - tyto informace se uživatelům mohou hodit. Já bych zůstal u toho, že tyto restrikce by se do kernelu dodávaly až s patchsetem - na většině míst asi není takových omezení vůbec zapotřebí.

[Luk]

Spíš než patchset by se mi líbilo řešení přes LSM. Snad se ho jednou dočkáme...

[VícNežNic]

Jsem toho názoru, že už výchozí vanilla kernel by měl obsahovat možnost jak taková omezení vytvořit. Například SELinux zahrnutý v Redhetích produktech vypadá nadějně, ale integrace je slabá (takové ls -Z moc luxusní není) a leccos s tím zatím nefunguje. Kdyby něco takového bylo už ve vanilla jádře, dost by se tomu pomohlo.