Comment utiliser SUID, SGID et Sticky Bits sous Linux

SUID, SGID et Sticky Bits sont de puissantes autorisations spéciales que vous pouvez définir pour les exécutables et les répertoires sous Linux. Nous partagerons les avantages – et les pièges potentiels – de leur utilisation.

Ils sont déjà utilisés

Intégrer la sécurité dans un système d’exploitation multi-utilisateur présente plusieurs dilemmes. Prenons le concept de base (apparemment) des mots de passe, par exemple. Ils doivent tous être stockés afin que chaque fois que quelqu’un se connecte, le système puisse comparer le mot de passe qu’il tape à la copie stockée. Évidemment, comme les mots de passe sont les clés du royaume, ils doivent être sauvegardés.

Sous Linux, les mots de passe stockés sont protégés de deux manières: ils sont cryptés et seule une personne avec root les privilèges peuvent accéder au fichier contenant les mots de passe. Cela peut sembler correct, mais cela pose un dilemme: si seulement les personnes root les privilèges peuvent accéder aux mots de passe stockés, comment ceux qui n’ont pas cet accès peuvent-ils changer leurs mots de passe?

Élever votre statut

Habituellement, les commandes et programmes Linux s’exécutent avec le même ensemble d’autorisations que la personne qui lance le programme. Quand root exécute le passwd commander changer un mot de passe, ça marche avec rootles autorisations. Cela signifie que le passwd peut accéder librement aux mots de passe stockés dans le /etc/shadow fichier.

L’idéal serait un système dans lequel n’importe qui sur le système pourrait lancer le passwd programme, mais ayez le passwd programme retenir rootprivilèges élevés. Cela permettrait à quiconque de changer son propre mot de passe.

Le scénario ci-dessus est précisément ce que le bit Set User ID (SUID) Est-ce que. Il exécute des programmes et des commandes avec les autorisations du propriétaire du fichier, plutôt que les autorisations de la personne qui lance le programme.

Vous rehaussez le statut du programme

Il y a cependant un autre dilemme. La personne doit être empêchée de se mêler du mot de passe de quelqu’un d’autre. Linux incorpore le SUID système qui lui permet d’exécuter des applications avec un ensemble d’autorisations temporairement empruntées, mais ce n’est que la moitié de l’histoire de la sécurité.

Le mécanisme de contrôle qui empêche quelqu’un de travailler avec le mot de passe d’une autre personne est contenu dans le passwd programme, pas le système d’exploitation et le schéma SUID.

Les programmes exécutés avec des privilèges élevés peuvent présenter des risques de sécurité s’ils ne sont pas créés avec un état d’esprit «sécurité dès la conception». Cela signifie que la sécurité est la première chose que vous considérez, et ensuite vous construisez sur cela. N’écrivez pas votre programme, puis essayez de lui donner une couche de sécurité par la suite.

Le plus grand avantage des logiciels open source est vous pouvez regarder le code source vous-même ou reportez-vous à des évaluations par des pairs de confiance. Dans le code source du passwd programme, il y a des vérifications, vous pouvez donc voir si la personne qui exécute le programme est root. Différentes capacités sont autorisées si quelqu’un est root (ou quelqu’un utilisant sudo).

Ce est le code qui détecte si quelqu’un est root.

Un extrait de code source de "passwd.c"

Voici un exemple dans lequel cela est pris en compte. Car root peut changer n’importe quel mot de passe, le programme n’a pas à se soucier des vérifications qu’il effectue habituellement pour voir quels mots de passe la personne a l’autorisation de changer. Donc pour root, il ignore ces vérifications et quitte la fonction de vérification.

Un extrait de code source de "passwd.c."

Avec les commandes et utilitaires Linux de base, vous pouvez être sûr qu’ils ont intégré la sécurité et que le code a été revu plusieurs fois. Bien sûr, il y a toujours la menace d’exploits encore inconnus. Cependant, les correctifs ou les mises à jour apparaissent rapidement pour contrer les vulnérabilités nouvellement identifiées.

Il s’agit d’un logiciel tiers, en particulier de tout logiciel non open source, vous devez être extrêmement prudent lors de l’utilisation SUID avec. Nous ne disons pas de ne pas le faire, mais si vous le faites, vous voulez vous assurer que cela n’exposera pas votre système à des risques. Vous ne voulez pas élever les privilèges d’un programme qui ne va pas s’auto-gouverner correctement et la personne qui l’exécute.

En relation :  Comment contrôler vos ventilateurs de plafond dans une maison intelligente

Commandes Linux utilisant SUID

Voici quelques-unes des commandes Linux qui utilisent le bit SUID pour donner à la commande des privilèges élevés lorsqu’elle est exécutée par un utilisateur régulier:

ls -l /bin/su
ls -l /bin/ping
ls -l /bin/mount
ls -l /bin/umount
ls -l /usr/bin/passwd

Une liste de commandes Linux dont le bit SUID est défini dans une fenêtre de terminal.

Notez que les noms de fichiers sont surlignés en rouge, ce qui indique que le bit SUID est défini.

Les autorisations sur un fichier ou un répertoire sont généralement représentées par trois groupes de trois caractères: rwx. Ceux-ci représentent la lecture, l’écriture et l’exécution. Si les lettres sont présentes, cette autorisation a été accordée. Si un trait d’union (-) au lieu d’une lettre est présente, cependant, cette permission n’a pas été donnée.

Il existe trois groupes de ces autorisations (de gauche à droite): celles du propriétaire du fichier, des membres du groupe du fichier et des autres. Quand le SUID bit est défini sur un fichier, un «s» représente l’autorisation d’exécution du propriétaire.

Si la SUID bit est défini sur un fichier qui n’a pas de capacités exécutables, un «S» majuscule l’indique.

Nous allons jeter un œil à un exemple. Utilisateur régulier dave tape le passwd commander:

passwd

La commande "passwd" dans une fenêtre de terminal.

le passwd invites de commande dave pour son nouveau mot de passe. Nous pouvons utiliser le ps commander pour voir les détails des processus en cours.

Nous utiliserons ps avec grep dans une autre fenêtre de terminal et recherchez le passwd processus. Nous utiliserons également le -e (chaque processus) et -f (plein format) options avec ps.

Nous tapons la commande suivante:

ps -e -f | grep passwd

La commande "ps -e -f | grep passwd" dans une fenêtre de terminal.

Deux lignes sont signalées, la seconde étant le grep processus à la recherche de commandes contenant la chaîne «passwd». Mais c’est la première ligne qui nous intéresse, car c’est celle pour le passwd processus dave lancé.

On peut voir le passwd le processus se déroule de la même manière que si root l’avait lancé.

Définition du bit SUID

Il est facile de changer le SUID peu avec chmod. le u+s le mode symbolique définit le SUID peu et le u-s le mode symbolique efface le SUID bit.

Pour illustrer certains des concepts du bit SUID, nous avons créé un petit programme appelé htg. Il se trouve dans le répertoire racine du dave utilisateur, et il n’a pas le SUID jeu de bits. Lorsqu’il est exécuté, il affiche les ID utilisateur réels et effectifs (UID).

Le vrai UID appartient à la personne qui a lancé le programme. L’ID effectif est le compte par lequel le programme se comporte comme s’il avait été lancé.

Nous tapons ce qui suit:

ls -lh htg
./htg

Les commandes "ls -lh htg" et "./htg" dans une fenêtre de terminal.

Lorsque nous exécutons la copie locale du programme, nous voyons que les ID réel et effectif sont tous deux définis sur dave. Donc, il se comporte exactement comme un programme normal le devrait.

Copions-le dans le /usr/local/bin répertoire afin que d’autres puissent l’utiliser.

Nous tapons ce qui suit, en utilisant chmod pour définir le SUID bit, puis vérifiez qu’il a été défini:

sudo cp htg /usr/local/bin
sudo chmod u+s /usr/local/bin/htg
ls -hl /usr/local/bin/htg

Les commandes «sudo cp htg», «/ usr / local / bin sudo chmod u + s / usr / local / bin / htg» et «ls -hl / usr / local / bin / htg» dans une fenêtre de terminal.

Ainsi, le programme est copié et le bit SUID est défini. Nous l’exécuterons à nouveau, mais cette fois, nous exécuterons la copie dans le /usr/local/bin dossier:

htg

Même si dave lancé le programme, l’ID effectif est défini sur root utilisateur. Donc si mary lance le programme, la même chose se produit, comme indiqué ci-dessous:

htg

Le vrai ID est mary, et l’ID effectif est root. Le programme s’exécute avec les autorisations de l’utilisateur root.

Bientôt: Comment utiliser la commande chmod sous Linux

Le bit SGID

L’ID de groupe défini (SGID) bit est très similaire au SUID bit. Quand le SGID bit est défini sur un fichier exécutable, le groupe effectif est défini sur le groupe du fichier. Le processus s’exécute avec les autorisations des membres du groupe du fichier, plutôt qu’avec les autorisations de la personne qui l’a lancé.

Nous avons peaufiné notre htg programme afin qu’il montre également le groupe effectif. Nous changerons le groupe des htg programme d’être utilisateur maryle groupe par défaut de, mary. Nous utiliserons également le u-s et g+s modes symboliques avec chown pour supprimer le SUID bit et réglez le SGID.

Pour ce faire, nous tapons ce qui suit:

sudo chown root:mary /usr/local/bin/htg
sudo chmod u-s,g+s /usr/local/bin/htg
ls -lh /usr/local/bin/htg

Les commandes «sudo chown root: mary / usr / local / bin / htg», «sudo chmod us, g + s / usr / local / bin / htg» et «ls -lh / usr / local / bin / htg» dans une fenêtre de terminal.

Tu peux voir le SGID bit indiqué par le «s» dans les permissions de groupe. Notez également que le groupe est défini sur mary et le nom du fichier est maintenant surligné en jaune.

En relation :  Comment utiliser votre appareil Roku comme navigateur Web

Avant d’exécuter le programme, établissons quels groupes dave et mary appartenir à. Nous utiliserons le id commande avec la -G option (groupes), pour imprimer tous les ID de groupe. Ensuite, nous exécuterons le htg programme comme dave.

Nous tapons les commandes suivantes:

id -G dave
id -G mary
htg

Les commandes «id -G dave», «id -G mary» et «htg» dans une fenêtre de terminal.

L’ID du groupe par défaut pour mary est 1001 et le groupe effectif des htg programme est 1001. Donc, bien qu’il ait été lancé par dave, il fonctionne avec les autorisations des membres du mary groupe. C’est la même chose que si dave avait rejoint le mary groupe.

Appliquons le SGID bit dans un répertoire. Tout d’abord, nous allons créer un répertoire appelé «travail», puis changer son groupe en «geek». Nous définirons ensuite le SGID bit sur le répertoire.

Quand nous utilisons ls pour vérifier les paramètres du répertoire, nous utiliserons également le -d (répertoire) afin que nous voyions les détails du répertoire, pas son contenu.

Nous tapons les commandes suivantes:

sudo mkdir work
sudo chown dave:geek work
sudo chmod g+s work
ls -lh -d work

Les commandes «sudo mkdir work», «sudo chown dave: geek work», «sudo chmod g + s work» et «ls -lh -d work» dans une fenêtre de terminal.

le SGID bit et le groupe «geek» sont définis. Celles-ci affecteront tous les éléments créés dans le work annuaire.

Nous tapons ce qui suit pour entrer le work répertoire, créez un répertoire appelé «démo» et vérifiez ses propriétés:

cd work
mkdir demo
ls -lh -d demo

Les commandes "cd work", "mkdir demo" et "ls -lh -d demo cd work" dans une fenêtre de terminal.

le SGID bit et le groupe «geek» sont automatiquement appliqués au répertoire «demo».

Tapons ce qui suit pour créer un fichier avec le touch commande et vérifiez ses propriétés:

touch useful.sh
ls -lh useful.sh

Les commandes "touch useful.sh" et "ls -lh useful.sh" dans une fenêtre de terminal.

Le groupe du nouveau fichier est automatiquement défini sur « geek ».

Bientôt: Comment utiliser la commande chown sous Linux

Le Sticky Bit

Le mors collant tire son nom de son objectif historique. Lorsqu’il est défini sur un exécutable, il signale au système d’exploitation que les parties de texte de l’exécutable doivent être conservées dans le swap, ce qui accélère leur réutilisation. Sous Linux, le sticky bit n’affecte qu’un répertoire – le définir sur un fichier n’aurait aucun sens.

Lorsque vous définissez le sticky bit sur un répertoire, les utilisateurs ne peuvent supprimer que les fichiers qui leur appartiennent dans ce répertoire. Ils ne peuvent pas supprimer les fichiers appartenant à quelqu’un d’autre, quelle que soit la combinaison d’autorisations de fichiers définie sur les fichiers.

Cela vous permet de créer un répertoire que tout le monde – et les processus qu’ils lancent – peuvent utiliser comme stockage de fichiers partagés. Les fichiers sont protégés car, encore une fois, personne ne peut supprimer les fichiers de quelqu’un d’autre.

Créons un répertoire appelé «partagé». Nous utiliserons le o+t mode symbolique avec chmod pour définir le bit collant sur ce répertoire. Nous examinerons ensuite les autorisations sur ce répertoire, ainsi que le /tmp et /var/tmp répertoires.

Nous tapons les commandes suivantes:

mkdir shared
sudo chmod o+t shared
ls -lh -d shared
ls -lh -d /tmp
ls -lh -d /var/tmp

Les commandes "mkdir shared", "sudo chmod o + t shared", "ls -lh -d shared," ls -lh -d / tmp ls "et" -lh -d / var / tmp "dans une fenêtre de terminal .

Si le bit sticky est défini, le bit exécutable de «l’autre» ensemble d’autorisations de fichier est défini sur «t». Le nom du fichier est également surligné en bleu.

le /tmp et /var/tmp Les dossiers sont deux exemples de répertoires pour lesquels toutes les autorisations de fichier sont définies pour le propriétaire, le groupe et autres (c’est pourquoi ils sont surlignés en vert). Ils sont utilisés comme emplacements partagés pour les fichiers temporaires.

Avec ces autorisations, n’importe qui devrait, en théorie, être capable de faire n’importe quoi. Cependant, le bit sticky les remplace et personne ne peut supprimer un fichier qui ne lui appartient pas.

Rappels

Ce qui suit est une liste de contrôle rapide de ce que nous avons couvert ci-dessus pour référence future:

  • SUID ne fonctionne que sur les fichiers.
  • Vous pouvez postuler SGID aux répertoires et aux fichiers.
  • Vous ne pouvez appliquer le sticky bit qu’aux répertoires.
  • Si la « s« , »g« , ou « t»Les indicateurs apparaissent en majuscules, le bit exécutable (x) n’a pas été défini.

Moyens Staff
Moyens I/O Staff vous a motivé, donner des conseils sur la technologie, le développement personnel, le style de vie et des stratégies qui vous aider.