Dotaz: ako spustit proces s obmedzenými právami?

[rastos]

Mám užívateľa U, ktorý je členom skupín A, B a C:

$ id
uid=1001(U) gid=2000(A) groups=3000(B),3001(C)

Ako taký užívateľ spustí program P tak, aby ten bežiaci program nemal prístup skupiny B? To znamená, že dostane permission denied pri prístupe k súboru s právami

$ stat /tmp/subor1
...
Access: (0040/----r-----)  Uid: (  1002/  U2)   Gid: (  3000/   B)
...

ale bude mať prístup skupiny C a teda úspešne otvorí súbor

$ stat /tmp/subor2
...
Access: (0040/----r-----)  Uid: (  1002/  U2)   Gid: (  3001/   C)
...

?

Ak tomu dobre rozumiem, tak skupiny B a C sa nazývajú "supplementary groups" a program sa sám môže vzdať niektorých skupín volaním setgroups(2). Mňa ale zaujíma, či to môžem programu nanútiť zvonku?

Odpovědi

[Pat1]

Melo by to jit spravnym pouzitim SetUID a SetGID na binarce.

[rastos]

E-e. Tým sa zmení len effective user/group id. Zoznam supplementary groups zostane nezmenený.

[Sten]

Skupiny se dědí z volajícího procesu (nastavuje je PAM auth při přihlášení), takže pokud volající proces změní skupiny, bude je mít takové i volaný proces.

Za běhu by to mohlo jít změnit pomocí /proc/$PID/gid_map (man user_namespaces) namapováním jen těch skupin, které procesu chcete povolit, ale nezkoušel jsem.

[rastos]

No to je taká šalamúnska odpoveď. Ja som skôr čakal, že exituje nejaký nástroj buď ako samostatný program, alebo ako bash built-in, ktorý to vie upraviť. Možno niečo na spôsob sudo, chroot, nice a podobne. Zdá sa, že si budem musieť napísať sám.

[Sten]

Nevím, že by na to existoval hotový nástroj. Asi ho nikdo nepsal, aby to nevyvolávalo falešný pocit zabezpečení, když si ty skupiny ten proces pak může přidat.

[Filip Jirsák]

Tím, že to neumí sudo, jste si jistý?

V systemd se to dá nastavit pomocí SupplementaryGroups.

[rastos]

Tím, že to neumí sudo, jste si jistý?

Nie som. Ale, ak dobre rozumiem manuálovej stránke, sudo dovoľuje stanoviť effective GID parametrom "-g" (čo ale nie je riešením), alebo dovoľuje použiť parameter "-P", ktorý ovplyvňuje suppl. groups, ale len prepína či použiť suppl. groups spúšťajúceho užívateľa, alebo substituovaného užívateľa.

Ak systém nerobí kontrolu, že povolí setgroups() len na podmnožinu toho, čo vráti getgroups() (teda, že zoznam sa dá len okresávať, nie rozširovať), tak má Sten pravdu a ten môj nápad nie je užitočný.

[Michal Kubeček]

HAFRTFM?

setgroups() sets the supplementary group IDs for the calling process. Appropriate privileges (Linux: the CAP_SETGID capability) are required.