Implicazioni sulla sicurezza dell'uso di SETCAP CAP_NET_RAW

Question

Implicazioni sulla sicurezza dell'uso di SETCAP CAP_NET_RAW

#1 da (2 voti)

3

Per aggirare il "problema" delle applicazioni che richiedono l'esecuzione dei privilegi di root, sto utilizzando:

sudo setcap CAP_NET_ADMIN+ep "$(readlink -f /usr/sbin/app)"
sudo setcap CAP_NET_RAW+ep "$(readlink -f /usr/sbin/app)"

per poter utilizzare la funzionalità di rete raw richiesta (in questo caso python può usare SOCK_RAW ) senza dover usare sudo. Quali sono le implicazioni per la sicurezza di fare questo in un ambiente che affronta il cliente? Questo potrebbe essere abusato in modo imprevisto?

Questo è in esecuzione su un server Ubuntu.

linux python ubuntu sudo capabilities

posta Crizly 01.07.2016 - 22:41

fonte

1 risposta

Leggi altre domande sui tag linux python ubuntu sudo capabilities

Impossibile imporre completamente la politica della password Autenticazione SAML automatizzata senza interazione dell'utente

score 2 · Accepted Answer

Le funzionalità sono descritte nella capabilities(7) manpage.

Per riepilogare e sicurezza:

CAP_NET_RAW : qualsiasi tipo di pacchetto può essere contraffatto, che include falsi mittenti, invio di pacchetti malformati, ecc., ciò consente anche di collegarsi a qualsiasi indirizzo (associato alla possibilità di fingere un mittente consente di imitare un dispositivo, legittimamente utilizzato per "proxy trasparente" come da manuale, ma dal punto di vista di un utente malintenzionato questo termine è un sinonimo di Man-in-The-Middle) ,
CAP_NET_ADMIN : in pratica nessuna restrizione nel controllo delle interfacce di rete, che include non solo la scheda di rete stessa (modifica la configurazione di rete, passa la scheda in modalità promiscua per acquisire traffico, ecc.) ma anche firewall (da non perdere!) e tabelle di routing (consente di indirizzare il traffico attraverso un host malevolo).