[sisyphus] chrooted ping, traceroute and resolveip

[Dmitry V. Levin]

On Mon, Apr 22, 2002 at 08:57:48PM +0700, Alexey Morozov wrote:
> > Примерно настолько, насколько увеличил бы защищенность системы отказ от
> > использования этих утилит. В случае взлома потенциальный злоумышленник
> > получает процесс с правами непривилегированного пользователя (за
> > исключением nmap и clockdif - у них остается cap_net_raw) в chroot'е,
> > доступном только для чтения.
> Ладно, почти верю, убедили :-)

Зачем верить, когда можно проверить.

А проверить нужно, что:
+ права на объекты в chroot'е не позволяют непривилегированному
  пользователю вносить какие-либо изменения в него;
+ процесс по окончании перехода в chroot должен быть в достаточной мере
  непривилегированным (*uid > 0, *gid >0, пустой supplementary group
  list, никаких cap_*, кроме необходимых, причем последние не могут
  содержать расширяющие доступ к устройствам, файловой системе и
  процессам);
+ у процесса по окончании перехода в chroot не остается ни одного
  дескриптора файла, открытого для записи (кроме 0,1,2, устройств типа
  /dev/null и сокетов);
+ процесс начинает обрабатывать пакеты из сети после перехода в chroot.


Regards,
	Dmitry

+-------------------------------------------------------------------------+
Dmitry V. Levin     mailto://ldv@alt-linux.org
ALT Linux Team      http://www.altlinux.com/
+-------------------------------------------------------------------------+
UNIX is user friendly. It's just very selective about who its friends are.
----------- следующая часть -----------
Было удалено вложение не в текстовом формате...
Имя     : =?iso-8859-1?q?=CF=D4=D3=D5=D4=D3=D4=D7=D5=C5=D4?=
Тип     : application/pgp-signature
Размер  : 232 байтов
Описание: =?iso-8859-1?q?=CF=D4=D3=D5=D4=D3=D4=D7=D5=C5=D4?=
Url     : <http://lists.altlinux.org/pipermail/sisyphus/attachments/20020422/17483ec9/attachment-0012.bin>