MATSUMOTO Ryosuke
matsu****@gmail*****
2011年 5月 31日 (火) 08:50:53 JST
忠鉢様 Capabilityの仕様と概要の情報ありがとうございます。 今回のメールの意図は、Capabilityに関してもう少し踏み込んだ内容に関して だと思っていただくといいかと思います。 > Linuxにおけるcapabilityの基本的な考え方は，rootが起動したプログラムを，最低限のcapabilityのみを許して実行させよう，という話だと思います． 意図としては、Capabilityをセットする際、セットしたいCapability ＊以外＊ のCapabilityを 落としすことでCapability機能を実現しています。 その ＊落とした＊ Capabilityを再度同じプロセスにセットし直せない様な仕様になっている のは、どういうリスクを想定しているのかをお聞きしたいと思っています。 もう少し踏み込みます。 例えば、あるプロセスにあるCapabilityのみをセットした状態にし、それ以外のCapabilityは 落とした状態だとします。「プロセスにセットしてあるCapabilityを一旦落とした後、再度、直 前までセットしていたCapability ＊のみ＊ をセットし直すことは可能だ」、という仕様を許可 することは、リスク的にどういったものが考えられるでしょうか？ 2011年5月31日6:03 Shintaro Fujiwara <shint****@gmail*****>: > こんにちは、藤原です。 > > secureos.jp が出てこないんですけど。。 > > > 2011年5月30日22:28 Yosuke Chubachi <piano****@gmail*****>: > > 忠鉢（@yuzuhara）です． > > > >> そこで、このような一方向でCapabilityを抜いていく仕様となった原因やリスクとは具 > >> 体的にどういった内容を想定されての仕様なのでしょうか？ > > > Linuxにおけるcapabilityの基本的な考え方は，rootが起動したプログラムを，最低限のcapabilityのみを許して実行させよう，という話だと思います． > > 参考）海外さんの発表in セキュアOS塾 > > > http://www.secureos.jp/index.php?plugin=attach&refer=events%2Fjsosjk02&openfile=20090202-sosjk02-kaigai.pdf > > > > > ざっくり言えば，原因は「本来，特権の一部が必要なプログラムなはずなのに，すべての特権を許可して（つまりrootで）実行していた」になり，リスクは「プログラムを乗っ取る攻撃により，（結果的に）root特権が奪取される可能性」といえると思います． > > > > linuxのケーパビリティとはどういうもの？という話は，この辺を読むと良いかもしれません． > > > http://www.symantec.com/connect/articles/introduction-linux-capabilities-and-acls > > > > 以上です． > > 2011年5月30日17:18 MATSUMOTO Ryosuke <matsu****@gmail*****>: > >> 日本セキュアOSユーザ会の皆様 > >> はじめまして、松本亮介と申します。 > >> > >> Capabilityの設計思想に関してお聞きしたいのですが、Capabilityは権限を落とす方向 > >> にしか動作しないようになっていると思います。 > >> 例えば、とあるプロセスにsetuidのみのCapabilityがセットされた上体で、一旦setuid > >> のCapabilityを落とすと、再度setuidのCapabilityを与えられないような仕様になってい > >> ると理解しています。 > >> そこで、このような一方向でCapabilityを抜いていく仕様となった原因やリスクとは具 > >> 体的にどういった内容を想定されての仕様なのでしょうか？ > >> ご存知の方がいらっしゃいましたら、ご教授下さい。 > >> ----- > >> MATSUMOTO Ryosuke < matsu1229 gmail.com > > >> _______________________________________________ > >> Japan secure operating system users group > >> users****@secur***** > >> http://lists.sourceforge.jp/mailman/listinfo/jsosug-users > >> > >> > > > > > > > > -- > > 忠鉢 洋輔 > > Mail:piano****@gmail***** > > > > _______________________________________________ > > Japan secure operating system users group > > users****@secur***** > > http://lists.sourceforge.jp/mailman/listinfo/jsosug-users > > > > > > -- > http://intrajp.no-ip.com/ Home Page > > _______________________________________________ > Japan secure operating system users group > users****@secur***** > http://lists.sourceforge.jp/mailman/listinfo/jsosug-users > -------------- next part -------------- HTMLの添付ファイルを保管しました...Download