کار با قابلیت های لینوکس

• معرفی
• پیش نیازها
• توضیح
• کار با قابلیت های پرونده
• نتیجه

معرفی

قابلیت های لینوکس ویژگی های خاصی در هسته لینوکس است که به فرآیندها و اجزای اجرایی باینری امتیازات ویژه ای اعطا می کند که به طور معمول برای پردازش هایی محفوظ است که شناسه کاربری مؤثر آنها 0 است (کاربر اصلی و تنها کاربر اصلی دارای UID 0 است).

در این مقاله برخی از قابلیتهای موجود ، کاربردهای آنها و نحوه تنظیم و حذف آنها توضیح داده خواهد شد. لطفاً توجه داشته باشید که تنظیم قابلیت های اجرایی می تواند امنیت سیستم شما را به خطر اندازد. به این ترتیب ، شما باید قبل از اجرای قابلیت های تولید ، آزمایش سیستم غیر تولیدی را در نظر بگیرید.

پیش نیازها

• سیستمی لینوکس که به آن دسترسی ریشه ای دارید (یا از طریق کاربر اصلی یا کاربر دارای دسترسی سودو).

توضیح

در اصل ، هدف از قابلیتها تقسیم قدرت "ریشه" به امتیازات خاص است ، به طوری که اگر از یک فرآیند یا باینری که یک یا چند توانایی دارد بهره برداری شود ، در مقایسه با همان فرآیند که به عنوان root انجام می شود ، آسیب بالقوه محدود می شود.

قابلیت ها را می توان روی پردازش ها و پرونده های اجرایی تنظیم کرد. یک فرآیند حاصل از اجرای یک پرونده می تواند قابلیت های آن پرونده را به دست آورد.

قابلیت های پیاده سازی شده در لینوکس بی شماری هستند و تعداد زیادی از زمان انتشار اولیه آنها اضافه شده است. برخی از آنها به شرح زیر است:

• CAP_CHOWN: در شناسه کاربر و شناسه گروه پرونده ها تغییراتی ایجاد کنید
• CAP_DAC_OVERRIDE: نادیده گرفتن DAC (کنترل دسترسی اختیاری). به عنوان مثال ، برای جلوگیری از بررسی مجوزهای خواندن / نوشتن / اجرای مجوزها.
• CAP_KILL: بررسی مجوزهای عبور برای ارسال سیگنال به فرآیندها.
• CAP_SYS_NICE: ظرافت فرایندها را بالا ببرید ( توضیحی از زیبایی را می توان در اینجا یافت )
• CAP_SYS_TIME: ساعت سخت افزار سیستم و زمان واقعی را تنظیم کنید

برای لیست کامل ، اجرا کنید man 7 capabilities.

قابلیت ها در مجموعه ها مشخص شده است ، یعنی "مجاز" ، "وراثت" ، "مؤثر" و "محیط" برای موضوعات و "مجاز" ، "وراثت" و "مؤثر" برای پرونده ها. این مجموعه رفتارهای پیچیده مختلفی را تعریف می کنند ، توضیح کامل آنها خارج از محدوده این مقاله است.

هنگام تنظیم قابلیت ها روی پرونده ، برای مثال تقریباً همیشه از "مجاز" و "مؤثر" استفاده CAP_DAC_OVERRIDE+epخواهیم کرد. توجه کنید +ep، که نشانگر مجموعه های فوق است.

کار با قابلیت های پرونده

بسته های مورد نیاز

دو ابزار اصلی وجود دارد، getcapو setcapکه به ترتیب می توانید مشاهده و تنظیم این ویژگی ها است.

• در دبیان و اوبونتو ، این ابزارها توسط libcap2-binبسته ارائه شده است که می توان با آن نصب کرد:apt install libcap2-bin
• در CentOS و Fedora ، libcapبسته بندی لازم است:yum install libcap
• در Arch Linux نیز ارائه می شود libcap:pacman -S libcap

قابلیت خواندن

برای مشاهده اگر یک فایل دارای مجموعه ای از قابلیت ها باشد ، می توانید به getcap /full/path/to/binaryعنوان مثال اجرا کنید :

 root@demo:~# getcap /usr/bin/ping
 /usr/bin/ping = cap_net_raw+ep
 root@demo:~# getcap /usr/bin/rcp
 /usr/bin/rcp = cap_net_bind_service+ep

اگر می خواهید دریابید که قابلیت های موجود در سیستم شما چیست ، می توانید با دستور زیر کل سیستم پرونده خود را جستجو کنید:

getcap -r /

با توجه به اینکه سیستم های پرونده مجازی (مانند /proc) از این عملیات پشتیبانی نمی کنند ، دستور فوق هزاران خطا ایجاد می کند ، بنابراین برای خروجی پاک کننده از موارد زیر استفاده کنید:

getcap -r / 2>/dev/null 

اختصاص و از بین بردن قابلیت ها

برای تنظیم قابلیت خاص روی یک پرونده ، از آن استفاده کنید setcap "capability_string" /path/to/file.

برای حذف همه قابلیت ها از یک پرونده ، استفاده کنید setcap -r /path/to/file.

برای نمایش ، ما یک پرونده خالی را در فهرست اصلی ایجاد می کنیم ، به آن توانایی می دهیم و آن را حذف می کنیم. با موارد زیر شروع کنید:

root@demo:~# touch testfile
root@demo:~# getcap testfile

دستور دوم هیچ خروجی تولید نمی کند ، به این معنی که این پرونده هیچ قابلیت ای ندارد.

بعد ، یک قابلیت برای پرونده تنظیم کنید:

root@demo:~# setcap "CAP_CHOWN+ep" testfile
root@demo:~# getcap testfile
testfile = cap_chown+ep

"CAP_CHOWN + ep" به عنوان نمونه مورد استفاده قرار گرفت ، اما هر نوع دیگری را می توان به این روش اختصاص داد.

اکنون ، تمام قابلیت ها را از testfileزیر حذف کنید :

root@demo:~# setcap -r testfile
root@demo:~# getcap testfile

باز هم ، هیچ خروجی وجود نخواهد داشت ، زیرا "CAP_CHOWN + ep" حذف شد.

نتیجه

قابلیت ها کاربردهای بالقوه زیادی دارند و می توانند به تقویت امنیت سیستمهای شما کمک کنند. اگر از بیت SUID روی دستگاههای اجرایی خود استفاده می کنید ، در نظر بگیرید که آن را با قابلیت خاص مورد نیاز جایگزین کنید.