Linuxケーパビリティ (3/3) | OSDN Magazine
cap_from_textスタイル あるプロセスのケーパビリティがどうなっているのかはlibcapに含まれるgetpcapsを使って調べることができる。オプションで調べたいプロセスのプロセスIDを指定すると次のような出力が得られる。 # getpcaps 12345 Capabilities for `12345': =eip cap_chown,cap_sys_rawio-eip この出力はcap_from_text(3)のスタイルに従っている。cap_from_textスタイルの一般的な書式は次の通りだ。 [<capability>[,<capability>,...]]<action-list> ... ここでaction-listは次のような書式である。 <action>[<flags>][<action>[<flags>]...] 上の実行例ではactionにあたるのが=と-、f
capsetシステムコール - Linuxの備忘録とか・・・(目次へ）
capsetシステムコールは、header.versionで設定サイズを32バイトか64バイトで、captgetシステムコールと同じ引数となりますが、header.pidに関係なくカレントスレッドしかCAP更新できません。 header.versionにかかるCAPのサイズ分を、引数のdataからeffective, inheritable, permittedに設定した後、security_capset()でstruct cred *newに設定し、commit_creds()でカレントプロセスのcredと差し替えます。 SYSCALL_DEFINE2(capset, cap_user_header_t, header, const cap_user_data_t, data) { struct __user_cap_data_struct kdata[_KERNEL_CAPABILIT
–cap-dropオプションを使ったDockerコンテナの安全性を高める工夫 | POSTD
DockerにはLinuxのケーパビリティを削除するためのオプションがあるのをご存じでしたか？ docker run --cap-drop オプションを使うと、コンテナのルートを隔離することができ、コンテナ内でのアクセス権を制限することができます。悲しいことに、ほとんどの人はコンテナやそれ以外の場所でも、セキュリティを強化していません。 翌日では手遅れ ITの世界ではセキュリティへの配慮が遅すぎるという残念な傾向があります。 セキュリティが破られた翌日に初めて、セキュリティ対策システムが購入されているのです 。 ケーパビリティを落とすことで、コンテナのセキュリティを大変手っ取り早く改善することができます。 Linuxのケーパビリティとは? ケーパビリティのmanページ によると、 capabilities とは、個別に有効無効を設定することができる特権の集まりのことです。 私流に説明すると
権限を最小化するLinuxカーネルケーパビリティ － ＠IT
第3回 権限を最小化するLinuxカーネルケーパビリティ 面 和毅 サイオステクノロジー株式会社 インフラストラクチャービジネスユニット Linuxテクノロジー部 OSSテクノロジーグループ シニアマネージャ 2006/1/18 ケーパビリティの実態 ケーパビリティには、 システム全体を通して定義される「ケーパビリティバウンディングセット」 プロセスごとに設定される「プロセスケーパビリティセット（3種類）」 の2種類があり、これらから各プロセスの持つケーパビリティが決定されます。それぞれのケーパビリティセットは、32ビットのビット列になっており各ビット列がそれぞれ約30種類のケーパビリティに対応しています。 ケーパビリティバウンディングセットは、システム全体に対して適用されるケーパビリティセットで、最初にプロセスを特権で起動したときに、プロセスが持つケーパビリティのデフォルト値を決めるもの
Addressing Problems with Ping in Containers on Atomic Hosts
Having problems with ping in your containers? It might not be what you think! Problem Statement We received a bug report the other day with the following comment: On a RHEL 7 host (registered and subscribed), I can use Yum to install additional packages from docker run ... or in a Docker file. If I install the iputils package (and any dependencies), the basic ping command does not work. However, i
明日使えない Linux の capabilities の話 - @nojima's blog
(この記事は KMC アドベントカレンダー 2016 の3日目の記事です) はじめに みなさん以下のようなことで困ったことはないでしょうか？ ポート80を listen したいけど特権ポートなので、一般ユーザの権限で動くデーモンでは bind できない。 1024未満のポートは特権ポートと呼ばれ、一般ユーザの権限では bind することはできません。 この問題の解決策を考えてみます。 （なお、長々と説明を書いていますが、結論だけ知りたい人は一番下だけ読んで下さい） root で起動 まず、root であれば特権ポートを自由に bind できるので、root で対象デーモンを起動すれば、特権ポートを bind できます。 しかし、デーモンを root として動作させるのは一般にリスクが大きいです。 もしそのデーモンに脆弱性があった場合、root 権限を悪用される可能性があるわけです。 したが
GitHub - netblue30/firejail: Linux namespaces and seccomp-bpf sandbox
Firejail is a SUID sandbox program that reduces the risk of security breaches by restricting the running environment of untrusted applications using Linux namespaces, seccomp-bpf and Linux capabilities. It allows a process and all its descendants to have their own private view of the globally shared kernel resources, such as the network stack, process table, mount table. Firejail can work in a SEL
いますぐ実践! Linuxシステム管理
「いますぐ実践! Linux システム管理」はこちらです。 メルマガの解除、バックナンバーなども、以下からどうぞ。 https://www.usupi.org/sysad/ (まぐまぐ ID:149633) その他、作者に関するページは、概ね以下にございます。 https://www.usupi.org/kuri/ (まぐまぐ ID:126454) http://usupi.seesaa.net/ (栗日記ブログ) https://twitter.com/kuriking/ (twitter) https://facebook.com/kuriking3 (facebook) https://jp.pinterest.com/kuriking/pinterest) https://www.instagram.com/kuri_king_/ (instagram) [バックナンバーのトップへ
Linuxケーパビリティ(1/3) | OSDN Magazine
ケーパビリティは、特権をより細かな断片に分割しようというものである。プロセスに対して特権を細かく分けて与えることによって、安全性を高めることができる。 ケーパビリティとは UNIX系OSにおいてはrootユーザに絶対的な特権が与えられている。特権がなければできないことがある反面、特権がありさえすれば何でもできてしまう。この状況が問題をはらんでいることは、各種のセキュリティホールの存在によって明らかである。 Linuxケーパビリティは、こうした特権にまつわる問題(の少なくともいくらか)を解決するための機構だ。基本的な考え方は従来一つだった特権をいくつかに分割し、それぞれの権限のうちの本当に必要なものだけを選択的に保持するようにするというものだ。そして分割された特権の断片のそれぞれのことをケーパビリティと呼ぶ。 この仕組みは、特権のうちの必要のない部分を手放すための手段を提供するという形で機能
Linuxで最小特権を実現するで最小特権を実現する ∼∼POSIX CapabilityPOSIX Capability∼∼ 日本セキュアOSユーザ会 海外 浩平 <kaigai@ka...
LinuxLinuxで最小特権を実現するで最小特権を実現する ∼∼POSIX CapabilityPOSIX Capability∼∼ 日本セキュアOSユーザ会 海外 浩平 <kaigai@kaigai.gr.jp> Linuxで”最小特権”を実現する 対立概念： 最小で ”ない” 特権 伝統的な root 特権 root 特権の例 DACを無視してファイルにアクセス ファイルの所有者を変更できる 1024番以下のポートを開ける デバイスノードを作成できる その他諸々 Linuxで”最小特権”を実現する 対立概念： 最小で ”ない” 特権 伝統的な root 特権 root 特権の例 DACを無視してファイルにアクセス ファイルの所有者を変更できる 1024番以下のポートを開ける デバイスノードを作成できる その他諸々 特権 (Capability) 34種類が定義 (Linux 2.6
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Difference between linux capabities and seccomp
GitHub - lmars/cap2: A Ruby library for managing Linux process and file capabilities
セキュリティブログ - SIOS SECURITY BLOG
user-namespaced file capabilities - now with more magic [LWN.net]
userns/capability: Add user namespace capability [LWN.net]