Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen der Seite angezeigt.

--- admin_grundlagen:capabilities [2018/07/09 09:20] – [einer (root) shell eine cap. entziehen] ingo_wichmann
+++ admin_grundlagen:capabilities [2026/10/08 12:29] (aktuell) – ingo_wichmann
@@ Zeile 1: / Zeile 1: @@
+Statt einem Programm über das SETUID-Bit **alle** Systemrechte zu geben, ist es sinnvoller, nur die Fähigkeiten (capabilities) zu geben, die das Programm zur Erfüllung seines Zwecks benötigt. Das setzt allerdings die Unterstützung des Kernels voraus, welches bestimmte Capabilities bereitstellt, die dann den Programmen gegeben werden können.
+Mittels ''man capabilities'' kann man die vom verwendeten Kernel angebotenen Capabilities auflisten.
+====== Backup ohne root: rsync soll alle Dateien lesen dürfen ======
+===== remote =====
+  cp /usr/bin/rsync /usr/local/bin/rsync-ro
+  setcap cap_dac_read_search+ep /usr/local/bin/rsync-ro
+===== local =====
+  rsync --rsync-path=/usr/local/bin/rsync-ro nutzer42@remote:/etc/shadow .
 ====== ping mit capability statt suid-Bit ======
-  chmod u-s /bin/ping
-  setcap cap_net_raw+p /bin/ping
-  getcap /bin/ping
+  cat /usr/bin/ping > PING
+  ./PING 9.9.9.9
+als root
+  setcap cap_net_raw=p ./PING
+  getcap ./PING
+als user
+  ./PING 9.9.9.9
+Unter Debian nicht update-fest:
+  * [[http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=662845|Debian Bug 662845]]
+  * [[http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=502580|Debian Bug 502580]]
+Moderne Kernel :?: (oder eine andere black magick) erlauben ''ping'' auch ohne Capabilities.
+  sysctl -a | grep ping
+  setcap cap_net_raw,cap_net_admin=pe /usr/sbin/tcpdump
+Danach kann jeder User tcpdump benutzen
 ====== einer (root) shell eine Capability entziehen ======
-  capsh --drop=cap_chown --
+''capsh'' startet eine neue Shell mit veränderten Capabilities.
+  capsh --drop=cap_chown,cap_net_raw --
   chown kurt /etc/passwd
+  ping 9.9.9.9
-====== Doku ======
+====== Welcher Prozess hat welche Capabilities? ======
-  * http://www.admin-magazin.de/Das-Heft/2009/03/Rechte-ueber-File-Capabilities-einschraenken
+Pakete: libcap-ng-utils
-  * [[http://git.kernel.org/cgit/linux/kernel/git/torvalds/linux.git/tree/include/uapi/linux/capability.h|Liste der Capabilities im Kernel]]
+  pscap
+  getpcap <pid>
+== low level ==
+  grep ^Cap /proc/<pid>/status
+  CapInh:	0000000000000000
+  CapPrm:	000001ffffffdffe
+  CapEff:	000001ffffffdffe
+  CapBnd:	000001ffffffdffe
+  CapAmb:	0000000000000000
+  capsh --decode=000001ffffffdffe
-Unter Fedora 15 soll Capabilities an Stelle von SUID-Bit verwenden:
+===== rsync read only =====
-https://bugzilla.redhat.com/show_bug.cgi?id=646440
+zu sichernder Server:
-RHEL/CentOS 6 basiert auf Fedora 12
-Problem:
+  apt install rsync acl libcap2-bin
+  useradd -r -d /srv/rosync -s /usr/bin/sh rosync
+  install -d -o rosync -g rosync -m 700 /srv/rosync/.ssh
+  install -o rosync -g rosync -m 600 /dev/null /srv rosync/.ssh/authorized_keys
-Unter Debian nicht update-fest:
+  cp /usr/bin/rsync /usr/local/sbin/rsync-for-backup
-http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=662845
+  chown root:root /usr/local/sbin/rsync-for-backup
-http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=502580
+  chmod 700 /usr/local/sbin/rsync-for-backup
+  setfacl -m user:rosync:rx /usr/local/sbin/rsync-for-backup
+  setcap cap_dac_read_search+ep /usr/local/sbin/rsync-for-backup
+TODO: include rrsync?
+pull initierender Server:
+  apt install rsync
+  ssh-keygen -N '' -f .ssh/id_ed25519_rosync -C 'rosync backup'
+  ssh root@otherserver 'cat > /srv/rosync/.ssh/authorized_keys' < .ssh/id_ed25519_rosync.pub
+  rsync -ax -e 'ssh -i  .ssh/id_ed25519_rosync' --rsync-path=/usr/local/sbin/rsync-for-backup rosync@192.168.122.74:/ backup
+Was nicht gehen sollte:
+  rsync -ax -e 'ssh -i  .ssh/id_ed25519_rosync' --rsync-path=/usr/local/sbin/rsync-for-backup /etc/passwd rosync@192.168.122.74:/srv
+==== systemd + caps ====
+  systemctl show <unit> | grep -i cap
+====== Doku ======
+  * http://www.admin-magazin.de/Das-Heft/2009/03/Rechte-ueber-File-Capabilities-einschraenken
+  * [[http://git.kernel.org/cgit/linux/kernel/git/torvalds/linux.git/tree/include/uapi/linux/capability.h|Liste der Capabilities im Kernel]]
-Unter OpenSuSE nicht update-fest:
-https://features.opensuse.org/307254