We currently migrate to MediaWiki from our old installation, but not all content has been migrated yet. Take a look at the Wiki Team page for instructions how to help or browse through our new wiki at wiki.linux-vserver.org to find the information already migrated.

03. Infrastructure Existante

Les noyaux Linux récents fournissent déjà de nombreuses fonctions de sécurité qui sont utilisées par Linux-Vserver pour fonctionner, telles que le Système de Capacité Linux, les limites de ressource, les attributs de fichier et l'environnement chroot. Les sections suivantes vous donneront un court aperçu de chacune d'entre elles.

03.0. Système de Capacité Linux

En science des ordinateurs, une capacité est un jeton utilisé par un processus pour prouver qu'il est autorisé à faire une opération sur un objet. Le Système de Capacité Linux est basé sur les "Capacités POSIX", un concept légèrement similaire, conçu pour diviser les privilèges root puissants en un ensemble de privilèges distincts.

03.0.0. Capacités POSIX

Un processus possède trois champs de bits appelés les capacités héritables (I - "Inheritable"), permises (P), et effectives (E). Chaque capacité est implémentée dans un bit de chacun de ces champs, bit qui est soit défini soit non-défini.

Quand un processus essaie de faire une opération privilégiée, le système d'exploitation va vérifier les bits appropriés dans l'ensemble effectif des processus (au lieu de vérifier si l'uid respectif du processus est 0 comme il le fait habituellement).

Par exemple, quand un processus essaie de modifier l'horloge, le noyau Linux va vérifier que ce processus a le bit CAP_SYS_TIME (actuellement le bit 25) initialisé à son état effectif.

L'ensemble permis d'un processus indique les capacités que celui-ci peut utiliser. Le processus peut avoir des capacités définies dans l'ensemble permis qui ne sont pas dans l'ensemble effectif.

Ceci indique que le processus a temporairement désactivé cette capacité. Un processus n'est autorisé à définir un bit dans son ensemble effectif que si ce bit est disponible dans son ensemble permis.

La distinction entre capacités effectives et permises existe pour que les processus puissent réaliser des opérations qui nécessitent des privilèges.

Les capacités héritables sont les capacités du processus courant qui peuvent être héritées par un programme exécuté par ce dernier. L'ensemble permis d'un processus est masqué contre l'ensemble héritable pendant exec().

Rien de spécial ne se produit durant fork() ou clone().

Les processus fils ou les threads obtiennent une copie exacte des capacités du processus parent.

L'implémentation dans Linux s'arrête là, alors que les capacités POSIX[U5] requièrent l'ajout d'un ensemble de capacités aux fichiers, pour remplacer le flag SUID (au moins pour les exécutables).

03.0.1. Vue d'ensemble des capacités

La liste des capacités POSIX utilisées avec Linux est longue, et les 32 bits disponibles sont presques tous utilisés. Bien que la liste détaillée de ces capacités puisse être trouvée dans /usr/include/linux/capability.h sur la plupart des systèmes Linux, une vue d'ensemble des capacités importantes est donnée ici.

[0] CAP_CHOWN
change le propriétaire et le groupe du fichier
[5] CAP_KILL
envoie un signal au processus avec un ID utilisateur différent, réel ou effectif
[6] CAP_SETGID
permet le passage de setgid(2), setgroups(2), et de gids forgés sur les sockets
[7] CAP_SETUID
permet le passage de set*uid(2) et d'uids forgés sur les sockets
[8] CAP_SETPCAP
transfert/déplace toute capacité de l'ensemble permis vers/depuis n'importe quel pid
[9] CAP_LINUX_IMMUTABLE
permet la modification des attributs de fichier S_IMMUTABLE et S_APPEND
[11] CAP_NET_BROADCAST
permet la diffusion et l'écoute en multicast
[12] CAP_NET_ADMIN
permet la configuration de l'interface, le pare-feux IP, le masquerading, l'accounting, le débugage de sockets, les tables de routage, la liaison sur n'importe quelle adresse, l'entrée dans le mode de promiscuité, le multicasting...
[13] CAP_NET_RAW
permet l'utilisation des sockets RAW et PACKET
[16] CAP_SYS_MODULE
ajoute et retire des modules noyau
[18] CAP_SYS_CHROOT
permet chroot(2)
[19] CAP_SYS_PTRACE
permet ptrace() sur n'importe quel processus
[21] CAP_SYS_ADMIN
la liste serait trop longue, ceci permet en gros de faire tout ce qui n'est pas mensionné dans les autres capacités
[22] CAP_SYS_BOOT
permet reboot(2)
[23] CAP_SYS_NICE
permet l'élévation des privilèges et la modification de la priorité des autres processus, en modifiant l'ordonnanceur
[24] CAP_SYS_RESOURCE
passe outre les limites de ressource, de quota, l'espace réservé sur un système de fichier...
[27] CAP_MKNOD
permet les aspects privilégiés de mknod(2)

Voir également les Exemples [E01],[E02], et [E03].