Forum Debian Users Gang

Idealnie nadaje się Apparmor:

http://blog.corporatism.org/RestrictedShellWithAppArmor
https://blog.cryptomilk.org/2011/09/02/jailbash/

Masz go w Debianie OTB, wystarczy zainstalować userspace (jest w repo pod hasłem apparmor) i włączyć Apparmora w parametrach cmdline kernela.

Tu na wiki Debiana: https://wiki.debian.org/AppArmor

Nic lepszego nie znajdziesz.

Pozdro

Ostatnio edytowany przez Jacekalex (2016-01-21 23:02:48)

Chroot nie jest żadnym poważnym zabezpieczeniem, chyba, żeby dozbroić go przez opcje ochrony chroota, które oferuje Grsecurity, wtedy staje się dosyć skuteczną klatką.

Chodzi o te opcje:

CONFIG_GRKERNSEC_CHROOT=y
CONFIG_GRKERNSEC_CHROOT_MOUNT=y
CONFIG_GRKERNSEC_CHROOT_DOUBLE=y
CONFIG_GRKERNSEC_CHROOT_PIVOT=y
CONFIG_GRKERNSEC_CHROOT_CHDIR=y
CONFIG_GRKERNSEC_CHROOT_CHMOD=y
CONFIG_GRKERNSEC_CHROOT_FCHDIR=y
CONFIG_GRKERNSEC_CHROOT_MKNOD=y
CONFIG_GRKERNSEC_CHROOT_SHMAT=y
CONFIG_GRKERNSEC_CHROOT_UNIX=y
CONFIG_GRKERNSEC_CHROOT_FINDTASK=y
CONFIG_GRKERNSEC_CHROOT_NICE=y
CONFIG_GRKERNSEC_CHROOT_SYSCTL=y
CONFIG_GRKERNSEC_CHROOT_RENAME=y
CONFIG_GRKERNSEC_CHROOT_CAPS=y
# CONFIG_GRKERNSEC_CHROOT_INITRD is not set
CONFIG_GRKERNSEC_CHROOT_EXECLOG=y

Przykład takiej ochrony na przykładzie próby  ataku DOS ICMP

# Debian ###   czw sty 21 22:56:07  localhost : / 
root ~> ping -f localhost
ping: icmp open socket: Operation not permitted

Nadawanie uprawnień SUID, SGID:

chmod 6755 `which bash`
chmod: nie można zmienić uprawnień do „/bin/bash”: Brak dostępu

Zablokowanie modyfikacji flag chattr:

chattr +a /bin/bash
chattr: Operacja niedozwolona podczas ustawiania flag /bin/bash

Pozdro

Ostatnio edytowany przez Jacekalex (2016-01-21 23:01:01)

Chce żeby miał dostęp tylko do swojego katalogu /home/user

To pomyśl - w jaki sposób wykona np. "ls ~" jeśli nie będzie miał dostępu do polecenia ls? Skąd będzie wiedział gdzie ma swój katalog domowy jeśli nie będzie miał dostępu do /etc/passwd?
Jeśli coś nie ma być dostępne dla użytkownika to się to robi za pomocą praw dostępu (np. właściciel root i prawa 0700). Jeśli coś w systemie ma inne to znaczy że tak ma być i że user ma mieć do tego dostęp. Taka uroda systemu...

Tyle że jak widzę zamiast zamknąć użytkownika w jego katalogu zablokowałeś mu po prostu do niego dostęp... jesteś pewien że o to Ci chodziło?

ethanak napisał(-a):

Tyle że jak widzę zamiast zamknąć użytkownika w jego katalogu zablokowałeś mu po prostu do niego dostęp... jesteś pewien że o to Ci chodziło?

No nie do końca gdzie popełniłem błąd. Fakt miał być zamknięty w katalogu a nie miał zablokowanego do niego dostępu.

Chcę żeby user nie mógł biegać po całym systemie, on ma widzieć tylko swój katalog, a do innych nie miał dostępu. Żeby nawet przy po mocy mc nie mógł chodzić po całym systemie.

Ostatnio edytowany przez tajwan (2016-01-22 13:12:01)

Może widzieć zawartość /urs/bin nic tajnego nie trzymam w /usr/share. To może inaczej krótko i na temat żeby user nie wchodził i nie widział katalogów plików innych userów oraz żeby nie wchodził tam gdzie nie musi :)

2594

Ostatnio edytowany przez uzytkownikubunt (2016-12-01 01:31:58)

czytałeś co napisałem czy może znowu tylko połowę?

[ethanak@tia ~]$ ls /home
ls: nie można otworzyć katalogu /home: Brak dostępu
[ethanak@tia ~]$ ls -ld /home
drwx--x--x. 182 root root 4096 01-15 10:34 /home

ethanak Nie zauważyłem twojego postu dla tego się nie dogadalismy.

yossarian napisał(-a):

Poza tym ten rbash jest cieniutki i przed niczym nie chroni.
Przykład w Wikipedii:

Kod:

 ~$ rbash
 ~$ cd /
 rbash: cd: restricted
 ~$ bash
 ~$ cd /
 /$

;)

Ale za to (ze względów bezpieczeństwa) blokuje skopiowanie klucza SSH przez ssh-copy-id.
:D

@tajwan

czy trzeba coś jeszcze ustawić?

Nie wystarczy, debootstrap nie jest od budowania chrootów, tylko do instalacji systemu z poziomu innego Linuxa.

Jak Ci koniecznie zależy na chrootach, to zainteresuj się np Jailkitem, Jailtoolem albo czymś podobnym.

Ostatnio edytowany przez Jacekalex (2016-01-27 00:29:09)