Fstab में नोडव और नोसुइड की व्याख्या


44

मैं उन दो विकल्पों को लगातार वेब पर सुझाता हूं जब कोई वर्णन करता है कि कैसे एक tmpfs या ramfs माउंट किया जाए। अक्सर noexec के साथ भी लेकिन मैं विशेष रूप से nvv और nosuid में रुचि रखता हूं। मैं मूल रूप से केवल आँख बंद करके घृणा करता हूं कि किसी ने क्या सुझाव दिया, बिना वास्तविक समझ के। और जब से मैं इस बारे में नेट पर केवल कॉपी / पेस्ट निर्देश देखता हूं, मैं यहां पूछता हूं।

यह प्रलेखन से है:
नोडव - फाइल सिस्टम पर विशेष उपकरणों को ब्लॉक न करें।
nosuid - suid, और sgid बिट्स के ऑपरेशन को ब्लॉक करें।

लेकिन मैं एक व्यावहारिक स्पष्टीकरण चाहूंगा कि अगर मैं उन दोनों को छोड़ दूं तो क्या हो सकता है। मान लीजिए कि मैंने tmpfs या ramfs (इन दो उल्लिखित विकल्पों के बिना) को कॉन्फ़िगर किया है जो सिस्टम पर एक विशिष्ट (गैर-रूट) उपयोगकर्ता द्वारा सुलभ (पढ़ा + लिखना) है। सिस्टम को नुकसान पहुंचाने के लिए वह उपयोगकर्ता क्या कर सकता है? रैमफ़ के मामले में सभी उपलब्ध सिस्टम मेमोरी का उपभोग करने के मामले को छोड़कर


1
यह आपके प्रश्न का एक अच्छा उत्तर है: unix.stackexchange.com/questions/188601/…
अण्डाकार दृश्य

जवाबों:


36

आपको कठोर नियम के रूप में आँख बंद करके इसका पालन करने की आवश्यकता नहीं है। लेकिन अधिक सुरक्षा-केंद्रित स्थितियों के लिए तर्क निम्नानुसार है।

  • नोडव माउंट विकल्प निर्दिष्ट करता है कि फाइलसिस्टम में विशेष उपकरण नहीं हो सकते हैं: यह एक सुरक्षा सावधानी है। आप इस तरह का उपयोगकर्ता विश्व-सुलभ फाइल सिस्टम नहीं चाहते हैं, जिसमें चरित्र उपकरणों के निर्माण या यादृच्छिक डिवाइस हार्डवेयर तक पहुंच की क्षमता हो ।

  • Nosuid आरोह विकल्प निर्दिष्ट करता है कि फाइलसिस्टम में userid फाइलें सेट नहीं की जा सकती हैं। एक विश्व-लेखन योग्य फाइल सिस्टम पर सेट्युइड बायनेरिज़ को रोकने से समझ में आता है क्योंकि वहाँ रूट एस्केलेशन या अन्य विकृति का खतरा है।

इसके लायक क्या है, मैं अक्सर इन मापदंडों का उपयोग नहीं करता हूं ... केवल सार्वजनिक सामना करने वाली प्रणालियों पर जहां अन्य अनुपालन विचार हैं।


1
मेरे पास वास्तव में एक सार्वजनिक सामना प्रणाली है क्योंकि सॉफ्टवेयर उस खाते के तहत चल रहा है जो नेट के संपर्क में है। इसलिए मैं सोच रहा हूँ कि यहाँ क्या-क्या परिदृश्य हैं। क्या होगा अगर किसी को कुछ भेद्यता के माध्यम से शेल तक पहुंच प्राप्त होती है। बेशक अन्य चीजें हैं जो वह अधिकारों को बढ़ाने के लिए कर सकती हैं लेकिन मैं उन्हें कम से कम करना चाहूंगा। इसलिए मैं उदाहरण के लिए सोच रहा हूँ कि suid उपयोगकर्ता अभी भी उस झंडे को बदलने में सक्षम नहीं होगा, भले ही फाइलसिस्टम इसे अनुमति दे या नहीं। क्या नोसिड विकल्प केवल तब आकस्मिक रूप से कॉन्फ़िगर किए गए सॉफ़्टवेयर (एक रूट द्वारा) को रोकना है? या कोई उपयोगकर्ता अकेले इसका फायदा उठा सकता है?
इवान कोवासेविक

1
@IvanKovacevic आपको अनुशंसित फ़ाइल सिस्टम माउंट विकल्पों का उपयोग करने की आवश्यकता नहीं है। वे हमले के वेक्टर को कम करने के लिए वहां हैं। क्या-अगर परिदृश्यों की जांच इस प्रश्न के दायरे से परे हो सकती है, हालांकि।
ewwhite

3
@ नया: सेतु के बारे nosuidमें ध्यान नहीं दिया जाता है? (इसके बजाय The nosuid mount option specifies that the filesystem cannot contain set userid files)
user2284570
हमारी साइट का प्रयोग करके, आप स्वीकार करते हैं कि आपने हमारी Cookie Policy और निजता नीति को पढ़ और समझा लिया है।
Licensed under cc by-sa 3.0 with attribution required.