Features/ChrootedServices: различия между версиями

Текущая версия от 12:13, 3 августа 2023

chroot

В ALT Linux существенная часть сервисов помещена в chroot, зачастую с пониженными правами, поскольку root в chroot — вовсе не гарантия, что он оттуда не выберется. Даже libresolv выполняется в chroot. Это может быть неудобным в том плане, что пути сдвигаются. Например, my.cnf живёт в /var/lib/mysql, добавляется сложностей с подключением дополнительных модулей или библиотек в «песочнице», как то перловых к Postgres или авторизационных к Postfix. Но обратная сторона медали в том, что если один из таких сервисов окажется взломанным, то в распоряжении атакующего будет гораздо меньше средств и привилегий для захвата всей системы.

При этом пакет chrooted обеспечивает использование жёстких ссылок в случае, когда оригинальные файлы (конфигурация, библиотеки, бинарники) и «песочница» находятся в пределах одной файловой системы; впрочем, жёсткие ссылки менее безопасны, чем физические копии.

Некоторые варианты использования update_chrooted:

update_chrooted conf

update_chrooted all

Следует отметить такие неочевидности:

после изменения /etc/resolv.conf или /etc/hosts необходимо выполнить команду update_chrooted conf (также отрабатывается при загрузке), чтобы обновить копии этих файлов в «песочницах»; без этого возможны проблемы вида «ping не работает»
монтирование /var с noexec также может привести к проблемам с работой chrooted-сервисов

Ссылки

@@ Строка 1: / Строка 1: @@
-{{MovedFromFreesourceInfo|AltLinux/Features/ChrootedServices}}
+== chroot ==
-== chroot ==
+В ALT Linux существенная часть сервисов помещена в chroot, зачастую с пониженными правами, поскольку root в chroot — вовсе не гарантия, что он оттуда не выберется. Даже libresolv выполняется в chroot. Это может быть неудобным в том плане, что пути сдвигаются. Например, {{path|my.cnf}} живёт в {{path|/var/lib/mysql}}, добавляется сложностей с подключением дополнительных модулей или библиотек в «песочнице», как то перловых к Postgres или авторизационных к Postfix. Но обратная сторона медали в том, что если один из таких сервисов окажется взломанным, то в распоряжении атакующего будет гораздо меньше средств и привилегий для захвата всей системы.
+При этом пакет {{pkg|chrooted}} обеспечивает использование жёстких ссылок в случае, когда оригинальные файлы (конфигурация, библиотеки, бинарники) и «песочница» находятся в пределах одной файловой системы; впрочем, жёсткие ссылки менее безопасны, чем физические копии.
-В ALT Linux существенная часть сервисов помещена в chroot, зачастую с пониженными правами (поскольку root в chroot -- вовсе не гарантия, что он оттуда не выберется).  Даже libresolv выполняется в чруте.  Это может быть неудобным в том плане, что пути сдвигаются (например, my.cnf живёт в /var/lib/mysql, добавляется сложностей с подключением дополнительных подулей или библиотек в чруте -- как-то к перловых Postgres или авторизационных к Postfix)... но обратная сторона медали в том, что если один из таких сервисов окажется проломанным, то в распоряжении атакующего будет гораздо меньше средств и привилегий для захвата всей системы.
+Некоторые варианты использования update_chrooted:
+  update_chrooted conf
-При этом пакет <tt>chrooted</tt> обеспечивает использование хардлинков в случае, когда оригинальные файлы (конфигурация, библиотеки, бинарники) и чрут находятся в пределах одной файловой системы; впрочем, хардлинки менее безопасны, чем физические копии.
+ update_chrooted all
 Следует отметить такие неочевидности:
-* после изменения <tt>/etc/resolv.conf</tt> или <tt>/etc/hosts</tt> необходимо выполнить команду <tt>update_chrooted conf</tt> (также отрабатывает при загрузке), чтобы обновить копии этих файлов в чрутах; без этого возможны проблемы вида "ping не работает"
+* после изменения {{path|/etc/resolv.conf}} или {{path|/etc/hosts}} необходимо выполнить команду {{cmd|update_chrooted conf}} (также отрабатывается при загрузке), чтобы обновить копии этих файлов в «песочницах»; без этого возможны проблемы вида «ping не работает»
-* монтирование /var с noexec также [http://lists.altlinux.org/pipermail/sisyphus/2006-August/085164.html может] привести к проблемам с работой зачрученых сервисов
+* монтирование {{path|/var}} с <tt>noexec</tt> также [http://lists.altlinux.org/pipermail/sisyphus/2006-August/085164.html может] привести к проблемам с работой chrooted-сервисов
+== Ссылки ==
+* [http://docs.altlinux.org/archive/2.4/master/alt-docs-master/ch06s19.html Документация Master 2.4]
+* [http://forum.altlinux.org/index.php?topic=10960.0 Обсуждение на форуме]
+* [http://packages.altlinux.org/ru/Sisyphus/srpms/chrooted-resolv Пакет chrooted-resolv]
+[[Категория:Features]]
+[[Категория:Admin]]
+[[Категория:FAQ]]