Privbind - Server-Dienste ohne Root-Rechte betreiben
Irgendwer ist vor ein paar Jahrzehnten auf die Idee gekommen das nur Root Dienste auf den ersten 1024 Ports von Unix resp. Linux betreiben darf. Mit der Zeit würde ich dieses Konzept als überholt ansehen, mich wundert das es noch niemand wirksam in Frage gestellt hat.
Manch Server-Software hat ihren eigenen Weg gefunden Root-Rechte ‘loszuwerden’, wie z.B. Apache oder OpenSSH. Manche Dienste können mit Privilege Separation aber nichts anfangen, hier setzt privbind an:
Privbind can run a server, right from the start, under an unprivileged non-root user with just one extra privilege: the server can bind to reserved ports
Die Benutzung ist geradezu trivial:
privbind -u user [ -g group] [ -n num] [ -l path] command [ arguments ... ]
Klein, einfach, effektiv würde ich sagen.
Veröffentlicht am 27.Juli 2007 | Kommentare: 4 | Artikel 847mal angeschaut
Tags: Linux,privbind,Privilege Separation,Unix
Verwandte Artikel
2. Kommentar von Olaf | Datum: 29.Juli 2007
> Überholt? Also ich weiss ja nicht. Ich finde es gut, dass mir kein User auf
> dem Server den SSH oder FTP Port streitig machen kann, das wäre ein
> gravierendes Sicherheitsproblem.
Das will ja auch gar niemand. Stattdessem geht es ja nur darum, dass ein Prozess nur deswegen mit Root-Rechten laufen muss, damit er sich an den Port binden kann - obwohl er fuer alles andere ueberhaupt keine Privilegien braeuchte. Und da stimme ich Joern voll und ganz zu.
Das Problem laesst sich auch mit Kernel-Capabilities loesen. Allerdings findet sich dazu nur uralte und lueckenhafte Doku aus 2.4. Keine Ahnung, wie da der aktuelle Stand ist.
3. Kommentar von Jens Gutzeit | Datum: 30.Juli 2007
Hallo Olaf,
das habe ich durchaus verstanden, ich sehe es aber kritisch, alles in irgendeiner Form (ver)konfigurierbar zu haben. Sicher, es ist ärgerlich das edliche Programme erstmal als root starten müssen. Ich denke aber, das es auch einiges wert ist, eine Basis-Sicherheit zu haben, auf die man sich, unabhängig vom Stand der Konfiguration der Maschine, einfach verlassen kann.
(Oder ich habe mich mit dem Müll einfach schon zu sehr abgefunden. Das kann dann jeder auslegen wie er will ;-) )
1. Kommentar von Jens Gutzeit | Datum: 27.Juli 2007
>Mit der Zeit würde ich dieses Konzept als überholt ansehen,
>mich wundert das es noch niemand wirksam in Frage gestellt hat.
Überholt? Also ich weiss ja nicht. Ich finde es gut, dass mir kein User auf dem Server den SSH oder FTP Port streitig machen kann, das wäre ein gravierendes Sicherheitsproblem.