Jailkit a mount adresářů zvenčí

[Patrik Štrba]

Zdravím. Chcel by som sa spýtať, či je možné používať pri jailkite mount, ktorý mi pripojí adresár do chrootu, prípadne tak riešiť celý chrootovský systém. Dajme tomu, že by som si vytvoril jednu šablonu systému v /chroot a potom ho pre každého používatela pripojil do /home/[USER]/. Chcel by som sa spýtať, či by tam nebolo potom nejaké bezpečnostné riziko, lebo kopírovať celú štruktúru ktorá je rádovo v stovkách MB je dosť neefektívne.

Uvediem príklad.

mám adresáre:

/chroot/bin/
/chroot/usr/
/chroot/lib/

tieto tri adresáre by som pripájal pomocou:

mount --bind /chroot/bin/ /home/[USER]/bin/
mount --bind /chroot/usr/ /home/[USER]/usr/
mount --bind /chroot/lib/ /home/[USER]/lib/

Snáď pochopíte čo sa vás pýtam.

[Reklama]

[Petr Krčmář]

Já v tom bezpečnostní problém nevidím, pokud ty adresáře budou read only a nebude v nich nic problematického.

[Mirek Prýmek]

Je otazka, jaky by to vlastne melo mit smysl - jak se lapidarne rika "chroot is not a security feature" )
Chroot nebrani (pokud se teda neco od te doby nezmenilo) proti tomu, kdyz uzivatel ziska roota. Takze pak celkem neni duvod uzivatele zavirat v chrootu a muzu ho celkem v klidu nechat smejcit po celem FS, pokud tam mam spravne nastavena prava.

Viz:
http://www.mail-archive.com/vserver@list.linux-vserver.org/msg00447.html
http://linux-vserver.org/Secure_chroot_Barrier
http://www.mail-archive.com/vserver@list.linux-vserver.org/msg00447.html

Alespon ted z hlavy me teda nenapada, k cemu by to vlastne bylo dobre, proti cemu by to melo chranit. Leda ze by smyslem nebyla ochrana (bezpecnost) ale moznost uzivatelum poskytnout nejake specialne prizpusobene testovaci prostredi - to pak jo, to by slo.

Vetsi mira bezpecnosti by asi mela byt pod BSD jailem, ale i tam je asi otazka, jestli je rozumne na to 100%ne spolihat...

[pajon]

Je otazka, jaky by to vlastne melo mit smysl - jak se lapidarne rika "chroot is not a security feature" )
Chroot nebrani (pokud se teda neco od te doby nezmenilo) proti tomu, kdyz uzivatel ziska roota. Takze pak celkem neni duvod uzivatele zavirat v chrootu a muzu ho celkem v klidu nechat smejcit po celem FS, pokud tam mam spravne nastavena prava.

Viz:
http://www.mail-archive.com/vserver@list.linux-vserver.org/msg00447.html
http://linux-vserver.org/Secure_chroot_Barrier
http://www.mail-archive.com/vserver@list.linux-vserver.org/msg00447.html

Alespon ted z hlavy me teda nenapada, k cemu by to vlastne bylo dobre, proti cemu by to melo chranit. Leda ze by smyslem nebyla ochrana (bezpecnost) ale moznost uzivatelum poskytnout nejake specialne prizpusobene testovaci prostredi - to pak jo, to by slo.

Vetsi mira bezpecnosti by asi mela byt pod BSD jailem, ale i tam je asi otazka, jestli je rozumne na to 100%ne spolihat...

Už som študoval danú problematiku o prelomeni chrootu. Avšak používateľ, ktorý bude v chroote nebude mať možnosť sa prepnúť na roota. Takže v tom by som problém nevidel. Používatelia nebudú mať taktiež prístupný žiaden setuid program.

Za príspevky ďakujem.