Dotaz: mount.cifs - prava

[karel]

Zdravim, mountuju si samba slozku pomoci mount.cifs v Ubuntu 9.10 jako uzivatel a vse je OK. Na druhem PC, kde to taky fungovalo, jsem upgradoval na verzi 10.04 Alpha2 a najednou jako user nemam opravneni mountovat pomoci mount.cifs:

mount error(1): Operation not permitted, Refer to the mount.cifs(8) manual page (e.g. man mount.cifs)

Je to chyba, nebo mam neco zmenit?

---

---

Odpovědi

[petr_p]

Jestli uživatel může připojit souborový systém, určuje volba user a users v /etc/fstab.

[karel]

ja ale nemountuju ve fstabu, protoze kazdy user ma jine slozky samby..

[petr_p]

A jak tedy? To jste totiž nenapsal. Automounter? Supermount? Neměl jste SUID bit na cifs.mount? Co takhle se podívat do Changelogu balíčku, kterému patří cifs.mount?

[karel]

aha, pardon ... mountuju z terminalu usera:

mount.cifs //10.0.10.1/FOTKY ~/server/FOTKY -o credentials=~/.smbpassword,iocharset=utf8,noperm

[Lukáš]

Mám ten samý problém, na KK to jelo, na LL ne. Běžný user nemůže mountovat s mount.cifs a root jo. Proč?

[pee]

zkuste nejdriv tohle:

chmod +s `which mount.cifs`
chmod +s `which umount.cifs`

[Lukáš]

super, funguje ;)

[karel]

muzete mi nekdo rict, co tohle s tim mount.cifs udela?

[petr_p]

To daným dvěma programům nastaví SUID bit. Program s tímto bitem pak při spuštění získá práva superuživatele (takže může například připojovat souborové systémy).

Proč tento bit v nové verzi vývojáři distribuce odstranili se právě dozvíte v Chanelogu balíčku (/usr/share/doc/smbfs/Changelog*). Nicméně důvod je zřejmý: libovolný uživatel tak mohl překrýt systémové adresáře svým zákeřným obsahem a učinit tak systém nedůvěryhodným.

[karel]

jo taak, ale prave mount.cifs byl dobry diky tomu, ze ho mohl vyuzit i obycejny user.. jak jinak primountovat samba slozky jako disky? Ten gnomackej mount nechci, protoze to nejaky aplikace vubec nemusi videt..

[karel]

neumim moc anglicky, ale nemuze se toho tykat tohle? Jestli jo, muzete mi to trosku vysvetlit? diky

[petr_p]

Ano, to je taky závažný problém. mount.cifs pravděpodobně v SUID režimu kontroluje vlastníka přípojného bodu, aby zabránil napadední systému, který jsem popisoval dříve. (Nevěděl jsem, že to mount.cifs dělá.)

Jde v něm o toto:

1. Uživatel zavolá mount.cifs nad adresářem (bodem připojení), který vlastní.
2. mount.cifs je spuštěn, zkontroluje si, že bod připojení je vlastněn uživatelem, který jej spustil. Pokračuje výzvou na zadaní hesla k CIFS systému.
3. Nyní uživatel adresář smaže a nahradí jej symbolickým odkazem do systémového adresáře (konkrétně /etc/pam.d, kde je uložena konfigurace autentizační a autorizační knihovny PAM používané při přihlašovaní uživatelů).
4. Uživatel zadá heslo, mount.cifs pokračuje tím, že požádá jádro o připojení souborového systému. To je mu schváleno, protože má nastaven SUID bit.
5. Jádro vyhodnotí cestu k přípojnému bodu (nahradí symbolický odkaz skutečnou cestou) a udělá přesně, o co bylo požádáno oprávněným procesem – připojí souborový systém do /etc/pam.d.
6. Nyní je v /etc/pam.d obsah vzdáleného CIFS systému namísto původních systémových konfiguračních souborů. Uživatel si může na CIFS serveru jinou cestou vytvořit takovou konfiguraci knihovny PAM, která mu dovolí třeba přihlásit se jako root.

Celý problém je v tom, že mezi kontrolou vlastnictví přípojného bodu a skutečným přípojením je časové okno, kdy útočník může podvrhnout již jednou prověřené údaje (bod připojený).

[petr_p]

Mohl využít, ale taky zneužít. Bezpečnostní mechanismy, které používá třeba FUSE, vyžadují, aby bod připojení byl vlastněn uživatelem, který se o připojení pokouší. Klasický mount nic takové ale asi neumí.

Ano, narazil jste na oblast, kde (GNU/)Linux ještě nepřijal desktopové funkce. Bohužel ti, kteří mají o ně zájem – vývojáři desktopů, si raději hrají na svém písečku („gnomácký mount“, KIO) a o nějaké přesahy do nedesktopového světa jim vůbec nejde.

O žádném hotovém bezpečném řešení nevím.

[karel]

ok, takze pokud zmenim ten SUID bit, bude to "ne/bezpecne" stejne, jako v predchozi verzi?

[petr_p]

Zdá se, že ano.

[karel]

dobre a diky moc za vycerpavajici odpovedi... kdyby nahodou nekdo vedel o nejakem lepsim pripojeni samba sharu jako disku (pokud by uz existovalo) at se tady podeli o zkusenost.. jeste jednou diky...

[Kain]

Ahoj, řešil jsem podobný problém, jak si může uživatel namountovat sdílené složky při svém přihlášení. Přes různá nastavení v /ets/fstab a mount.cifs jsem nakonec skončil u /usr/bin/smbmount respektive /usr/bin/smbumount. Nějak zvlášť jsem nestudoval proč to funguje, zřejmě to souvisí s tím, že tyto příkazy nemají nastaven SUID narozdíl od mount.cifs. Konfigurace: Ubuntu 9.10 Desktop, amd64, 2.6.31-20.

[Chytrex]

Mno jak to tak pročítám.. Pokud jde o to připojovat uživatelské samba mounty při každém loginu, možna by šlo použít pam modul pro mountování.. (Nikdy jsem to nepotřeboval, jen upozorňuji na tuhle možnost)

[tuxmartin]

Ten gnomackej mount nechci, protoze to nejaky aplikace vubec nemusi videt..

Podivej se do ~/.gvfs/ tam je uvidi kazdy program.