Treballant amb les capacitats de Linux

Introducció

Les capacitats de Linux són atributs especials del nucli Linux que atorguen als processos i als executables binaris privilegis específics que normalment es reserven per als processos l'ID d'usuari efectiu és 0 (l'usuari root, i només l'usuari root, té l'UID 0).

Aquest article explicarà algunes de les capacitats disponibles, els seus usos i com configurar-les i eliminar-les. Tingueu en compte que la configuració de les capacitats dels executables pot posar en perill la seguretat del vostre sistema. Per tant, hauríeu de considerar provar en un sistema que no sigui de producció abans d'implementar les capacitats en producció.

Requisits previs

• Un sistema Linux al qual teniu accés root (ja sigui mitjançant l'usuari root o un usuari amb accés sudo).

Explicació

Essencialment, l'objectiu de les capacitats és dividir el poder de l'"arrel" en privilegis específics, de manera que si s'explota un procés o binari que té una o més capacitats, el dany potencial es limita en comparació amb el mateix procés que s'executa com a root.

Les capacitats es poden configurar en processos i fitxers executables. Un procés resultant de l'execució d'un fitxer pot obtenir les capacitats d'aquest fitxer.

Les capacitats implementades a Linux són nombroses, i moltes s'han afegit des del seu llançament original. Alguns d'ells són els següents:

• CAP_CHOWN: feu canvis a l'identificador d'usuari i a l'identificador de grup dels fitxers
• CAP_DAC_OVERRIDE: Anul·lar DAC (Control d'accés discrecional). Per exemple, vto ignorar les comprovacions de permisos de lectura/escriptura/execució.
• CAP_KILL: Omet les comprovacions de permisos per enviar senyals als processos.
• CAP_SYS_NICE: Augmenta la bondat dels processos ( una explicació de la bondat es pot trobar aquí )
• CAP_SYS_TIME: Configura el sistema i el rellotge de maquinari en temps real

Per a la llista completa, executeu man 7 capabilities.

Les capacitats s'assignen en conjunts, és a dir, "permès", "heretable", "efectiu" i "ambient" per als fils, i "permès", "heretable" i "efectiu" per als fitxers. Aquests conjunts defineixen diferents comportaments complexos, la seva explicació completa està fora de l'abast d'aquest article.

Quan configurem les capacitats al fitxer, gairebé sempre utilitzarem "permès" i "efectiu", per exemple CAP_DAC_OVERRIDE+ep. Observeu el +ep, que denota els conjunts esmentats anteriorment.

Treballant amb capacitats de fitxers

Paquets obligatoris

Hi ha dues eines principals, getcapi setcapque poden visualitzar i establir aquests atributs respectivament.

• A Debian i Ubuntu, aquestes eines les proporciona el libcap2-binpaquet, que es pot instal·lar amb:apt install libcap2-bin
• A CentOS i Fedora, el libcappaquet és necessari:yum install libcap
• A Arch Linux, també els proporcionen libcap:pacman -S libcap

Capacitats de lectura

Per veure si un fitxer té alguna capacitat establerta, simplement podeu executar getcap /full/path/to/binary, per exemple:

 root@demo:~# getcap /usr/bin/ping
 /usr/bin/ping = cap_net_raw+ep
 root@demo:~# getcap /usr/bin/rcp
 /usr/bin/rcp = cap_net_bind_service+ep

Si voleu esbrinar quines capacitats ja estan configurades al vostre sistema, podeu cercar tot el vostre sistema de fitxers de manera recursiva amb l'ordre següent:

getcap -r /

A causa del fet que els sistemes de fitxers virtuals (com ara /proc) no admeten aquestes operacions, l'ordre anterior produirà milers d'errors, de manera que per obtenir una sortida més neta, utilitzeu el següent:

getcap -r / 2>/dev/null 

Assignació i eliminació de capacitats

Per establir una capacitat concreta en un fitxer, utilitzeu setcap "capability_string" /path/to/file.

Per eliminar totes les capacitats d'un fitxer, utilitzeu setcap -r /path/to/file.

Per a la demostració, crearem un fitxer en blanc al directori actual, li donarem una capacitat i l'eliminarem. Comenceu amb el següent:

root@demo:~# touch testfile
root@demo:~# getcap testfile

La segona ordre no produeix cap sortida, és a dir, aquest fitxer no té cap capacitat.

A continuació, configureu una capacitat per al fitxer:

root@demo:~# setcap "CAP_CHOWN+ep" testfile
root@demo:~# getcap testfile
testfile = cap_chown+ep

"CAP_CHOWN+ep" es va utilitzar com a exemple, però qualsevol altre es pot assignar d'aquesta manera.

Ara, elimina totes les capacitats de testfile:

root@demo:~# setcap -r testfile
root@demo:~# getcap testfile

De nou, no hi haurà sortida, perquè "CAP_CHOWN+ep" s'ha eliminat.

Conclusió

Les capacitats tenen molts usos potencials i poden ajudar a reforçar la seguretat dels vostres sistemes. Si utilitzeu el bit SUID als vostres executables, penseu a substituir-lo per la capacitat específica necessària.