POSIX機能の拡散防止

Question 1

setcapアクティブ化したばかりのユーザーに使用をスケジュールするには、ここにsudo機能を追加する必要はありません。ただします。

信頼できるユーザーについて知っている場合は、この機能を使用するには2つのオプションがあります。また、自分が能力あるように見せたい場合は、パッケージファイルなどを含む3番目のオプションも含めました。

ローカルコピーを作成してsetcap公開グループ（建築者）ユーザーに許可された機能を提供します。これは、このグループのユーザーメンバーが正しく機能することを信頼します。

$ cp $(which setcap) ./builder-setcap
$ sudo chgrp builders ./builder-setcap
$ chmod 0750 ./builder-setcap
$ sudo ./builder-setcap cap_setfcap=p ./builder-setcap

使用継承可能builder-setcap権限で実行できる人を制限するファイル機能です。実際に実行時にその権限を取得するには、別の手順が必要です（いずれかの方法で実行中のユーザーがプロセスを事前に取得します）。継承可能capshまたは同じ能力pam_cap.so）。このメカニズムはビルドシステムの周りのラッパーです。次のように進みますcapsh。

$ cp $(which setcap) ./builder-setcap
$ sudo chgrp builders ./builder-setcap
$ chmod 0750 ./builder-setcap
$ sudo ./builder-setcap cap_setfcap=i ./builder-setcap
$ sudo capsh --user=$(whoami) --inh=cap_setfcap --
... $ # in this shell cap_setfcap is available to ./builder-setcap

3番目のメカニズムは、ユーザーの名前空間コンテナを使用することです。そのようなコンテナの中には、誤った特権概念と誤った概念があります。根ユーザー。この環境では、権限のないユーザー根このコンテナに対して単に次を呼び出すことで、setcap間違った機能を提供できます。

$ unshare -Ur
... $ id
uid=0(root) gid=0(root) groups=0(root),65534(nobody)
... $ cp $(which setcap) builder-setcap
... $ ./builder-setcap cap_setfcap=p ./builder-setcap

最後に、ファイル機能はコンテナ内で機能しますが、コンテナを終了した後は機能します。機能が有効になっているファイルには実際には機能がありません。

... $ exit
$ getcap -n ./builder-setcap 
./builder-setcap cap_setfcap=p [rootid=1000]

ここのパラメータは、-nユーザーの名前空間のルートIDを表します。名前空間の外側には、ファイルに実際にファイル機能がないことがわかります。

$ ./builder-setcap -r builder-setcap 
unable to set CAP_SETFCAP effective capability: Operation not permitted

あなたが望むものに対する最も実現可能なアプローチは、機能的にアプローチ2と同じビルド呼び出しラッパーを直接作成し、アプローチsudo capsh --user=$(whoami) --inh=cap_setfcap -- -c 'exec builder'2に従ってバイナリを準備することです。builder-setcap

もちろん、builder-setcap特定の機能を付与し、他の機能を付与したくない場合は、独自のバージョンを作成して、付与したいファイル機能をフィルタリングすることもできます。完全なコードの複雑さsetcapは次のとおりです。かなり小さい。

Answer