Voir la source de Linux capabilities - Ping Operation not permitted

<span data-link_translate="he"></span><span data-link_translate="ro"></span><span data-link_translate="ru"></span><span data-link_translate="pl"></span><span data-link_translate="ja"></span><span data-link_translate="ar"></span><span data-link_translate="zh"></span><span data-link_translate="de"></span><span data-link_translate="nl"></span><span data-link_translate="it"></span><span data-link_translate="pt"></span><span data-link_translate="es"></span><span data-link_translate="he"></span><span data-link_translate="ro"></span><span data-link_translate="ru"></span><span data-link_translate="pl"></span><span data-link_translate="ja"></span><span data-link_translate="ar"></span><span data-link_translate="zh"></span><span data-link_translate="de"></span><span data-link_translate="nl"></span><span data-link_translate="it"></span><span data-link_translate="pt"></span><span data-link_translate="es"></span><span data-link_translate="en"></span><span data-link_translate="he"></span><span data-link_translate="ro"></span><span data-link_translate="ru"></span><span data-link_translate="pl"></span><span data-link_translate="ja"></span><span data-link_translate="ar"></span><span data-link_translate="zh"></span><span data-link_translate="de"></span><span data-link_translate="nl"></span><span data-link_translate="it"></span><span data-link_translate="pt"></span><span data-link_translate="es"></span><span data-link_translate="en"></span><span data-link_translate="he"></span><span data-link_translate="ro"></span><span data-link_translate="ru"></span><span data-link_translate="pl"></span><span data-link_translate="ja"></span><span data-link_translate="ar"></span><span data-link_translate="zh"></span><span data-link_translate="de"></span><span data-link_translate="nl"></span><span data-link_translate="it"></span><span data-link_translate="pt"></span><span data-link_translate="es"></span><span data-link_translate="en"></span><span data-link_translate="he"></span><span data-link_translate="ro"></span><span data-link_translate="ru"></span><span data-link_translate="pl"></span><span data-link_translate="ja"></span><span data-link_translate="ar"></span><span data-link_translate="zh"></span><span data-link_translate="de"></span><span data-link_translate="nl"></span><span data-link_translate="it"></span><span data-link_translate="pt"></span><span data-link_translate="es"></span><span data-link_translate="en"></span><span data-link_translate="he"></span><span data-link_translate="ro"></span><span data-link_translate="ru"></span><span data-link_translate="pl"></span><span data-link_translate="ja"></span><span data-link_translate="ar"></span><span data-link_translate="zh"></span><span data-link_translate="de"></span><span data-link_translate="nl"></span><span data-link_translate="it"></span><span data-link_translate="pt"></span><span data-link_translate="es"></span><span data-link_translate="en"></span><span data-link_translate="he"></span><span data-link_translate="he"></span><span data-link_translate="he"></span><span data-link_translate="he"></span><span data-link_translate="he"></span><span data-link_translate="he"></span><span data-link_translate="ro"></span><span data-link_translate="ru"></span><span data-link_translate="pl"></span><span data-link_translate="ja"></span><span data-link_translate="ar"></span><span data-link_translate="zh"></span><span data-link_translate="ro"></span><span data-link_translate="pl"></span><span data-link_translate="de"></span><span data-link_translate="nl"></span><span data-link_translate="it"></span><span data-link_translate="pt"></span><span data-link_translate="es"></span><span data-link_translate="en"></span><!-- Début de l'article. Placez votre texte ci-après et n'hésitez pas à personnaliser les chapitres selon votre besoin -->

==Introduction== <!--T:1-->
La gestion des capabilities est un mécanisme de sécurité du noyau Linux afin d'assurer un confinement d’exécution des applications s’exécutant sur le système, ce en affinant les possibilités d'appliquer le principe du moindre privilège.<br>
Nous allons voir comment manipuler les capabilities, c'est-à-dire donner quelques privilèges à un exécutable afin qu'il ne tourne pas avec l'identité root.

==Déroulé== <!--T:2-->
Dans notre exemple nous prendrons la commande '''ping''', voici le résultat avec un utilisateur non-root :
<pre>
$ ping www.ikoula.com
ping: icmp open socket: Operation not permitted
</pre>

En tant que root, nous allons ajouter la capacité ''cap_net_raw'' dans les sets ''Permitted'' et ''Effective'' '''(pe)''' du binaire ping.<br>
Cet ajout se fait avec la commande '''setcap''' :
<pre>
# setcap cap_net_raw=pe /bin/ping
</pre>

Nous pouvons vérifier avec la commande '''getcap''' :
<pre>
# getcap /bin/ping
/bin/ping = cap_net_raw+ep
</pre>

Testons maintenant avec notre utilisateur :
<pre>
$ ping -c 1 www.ikoula.com
PING www.ikoula.com (109.238.9.4) 56(84) bytes of data.
64 bytes from www.ikoula.com (109.238.9.4): icmp_seq=1 ttl=120 time=14.2 ms

--- www.ikoula.com ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 14.192/14.192/14.192/0.000 ms
</pre>


Notre utilisateur peut désormais utiliser la commande '''ping'''.<br>
Le problème est que la capability ''cap_net_raw'' de '''ping''' est appliquée pour tous nos utilisateurs.<br>
En effet, nous avons placé la capability dans le set ''Permitted'' et nous l'avons activée dans le set ''Effective''.<br>
De cette façon, '''ping''' s’exécutera de la même manière quelque soit l'utilisateur non-root qui appelle le binaire.


Afin de pousser la restriction au niveau utilisateur,  nous allons placer des capabilities à activer pour un utilisateur donné dans le set ''Inheritable'' du processus de son shell.<br>
Vérifions les valeurs par défaut de notre utilisateur :
<pre>
$ /sbin/getpcaps $$
Capabilities for `87903': =
</pre>


La commande '''getpcaps''' suivie du PID affiche les capabilities du processus attaché au PID, la variable '''$$''' renvoie le PID du shell en cours d'exécution, dans notre cas ''87903''.<br>
On peut voir que notre utilisateur n'a aucune capabilities d'ajoutées par défaut.

En tant que root, nous allons ajouter capability ''cap_net_raw'' au set ''Inheritable'' du shell de notre utilisateur dans le fichier '''/etc/security/capability.conf''' :
<pre>
cap_net_raw nom_de_votre_utilisateur
none *
</pre>


Vérifions ensuite avec notre utilisateur :
<pre>
$ /sbin/getpcaps $$
Capabilities for `87903': = cap_net_raw+i
</pre>


En tant que root, nous allons modifier les capabilities positionnées le set ''Inheritable'' sur le binaire '''ping''' :
<pre>
# setcap cap_net_raw=ie /bin/ping
</pre>


Vérifions :
<pre>
# getcap /bin/ping
/bin/ping = cap_net_raw+ei
</pre>


Vous pouvez désormais utiliser la commande '''ping''' avec votre utilisateur voulu sans que les autres utilisateurs puissent l'utiliser.


<!--T:4-->
<!-- Fin de l'article -->
<br /><br />
Cet article vous a semblé utile ? <vote />

<!--T:5-->

<!-- Commentaire -->
<comments />

<!-- Placez ci-dessous la ou les catégories auxquelles se rapporte votre article. Ex: [[Catégorie:Linux]] -->
[[Catégorie:Linux]]