Ограничиваем файловую систему в Debian

В этой статье я попытаюсь собрать в одну кучу наработки по ограничению доступа в файловой системе Linux. Описание делается с уклоном в сторону Debian и Debian based-систем, но легко может быть адаптировано и для других дистрибутивов.

Основная идея описанного ниже - превращение необходимых каталогов в точки монтирования, после чего ограничение прав уже непосредственно точек монтирования. Кроме этого, активно используется фича, добавленная в ядрах 2.6.26+ - bind'инг каталогов в режиме read only.

Все действия делаются последовательными операциями монтирования и целиком описываются в /etc/fstab:

---

# Каталог ядра и файлов загрузчика. Не меняется во время работы, тут ни исполняемых файлов, ни устройств, ни SUID-файлов
# Если /boot на отдельном разделе - параметры монтирования переносятся на него.
/boot                  /boot                   auto       bind                                           0       0
/boot                  /boot                   auto       bind,remount,ro,nodev,nosuid,noexec            0       0

# Пример конфигурирования /tmp для использования с tmpfs
# В Debian Wheezy можно сделать /tmp в tmpfs, задав RAMTMP=yes в /etc/default/tmpfs. Там же задаются размеры этой
# и другой точек tmpfs. Однако эта опция не ставит noexec на каталог.
# Еще одна "публично" доступная tmp-точка - это /var/tmp. По FHS там может быть временный контент,
# который не удаляется при перезагрузке. На деле такое встречал только в KDE - там хранился кэш браузера.
# В остальных случаях - а, тем более, на сервере - удобнее сделать /var/tmp симлинком на /tmp
tmpfs                  /tmp                    tmpfs      defaults,size=1G,noexec,nosuid,nodev           0       0

# Данная точка описывается, если для /usr не выделен отдельный раздел. Если выделен - переносим параметры туда
# /usr не меняется во время работы, поэтому можно держать его в RO. Исключением может быть /usr/src. При необходимости
# его можно вынести в отдельный каталог (например, сделать /var/src), а в /usr сделать симлинк.
# Кроме того, в /usr не бывает файлов устройств
/usr                   /usr                    auto       bind                                           0       0
/usr                   /usr                    auto       bind,remount,nodev,ro                          0       0

# Аналогично /usr - если есть отдельный раздел под него - делаем описание параметров там
# Данный раздел в RW, но тут не бывает SUID-бинарников
# Плюс в /var практически нет исполняемых файлов - возможно, стоит подробнее описать каталоги, где они находятся, 
# а /var сделать noexec
/var                   /var                    auto       bind                                           0       0
/var                   /var                    auto       bind,remount,nodev,nosuid                      0       0

# Некоторый софт ставится в /opt - защищаем его.
/opt                   /opt                    auto       bind                                           0       0
/opt                   /opt                    auto       bind,remount,ro,nodev                          0       0

# Защищаем от записи каталоги исполняемых файлов
/bin                   /bin                    auto       bind                                           0       0
/bin                   /bin                    auto       bind,remount,ro,nodev                          0       0

/sbin                  /sbin                   auto       bind                                           0       0
/sbin                  /sbin                   auto       bind,remount,ro,nodev                          0       0

# Защищаем от записи каталог основных системных библиотек и модулей ядра
/lib                   /lib                    auto       bind                                           0       0
/lib                   /lib                    auto       bind,remount,ro,nodev,nosuid                   0       0

# Внутри /var переопределяем параметры отдельного каталога, где хранится основная база установленных пакетов
# Делаем его доступным только на чтение, а также отключаем возможность размещения там файлов устройств и SUID-файлов
/var/lib/dpkg          /var/lib/dpkg           auto       bind                                           0       0
/var/lib/dpkg          /var/lib/dpkg           auto       bind,remount,ro,nosuid,nodev                   0       0

---

Короткая версия без комментариев для копипасты

/boot                  /boot                   auto       bind                                           0       0
/boot                  /boot                   auto       bind,remount,ro,nodev,nosuid,noexec            0       0

tmpfs                  /tmp                    tmpfs      defaults,size=1G,noexec,nosuid,nodev           0       0

/usr                   /usr                    auto       bind                                           0       0
/usr                   /usr                    auto       bind,remount,nodev,ro                          0       0

/var                   /var                    auto       bind                                           0       0
/var                   /var                    auto       bind,remount,nodev,nosuid                      0       0

/opt                   /opt                    auto       bind                                           0       0
/opt                   /opt                    auto       bind,remount,ro,nodev                          0       0

/bin                   /bin                    auto       bind                                           0       0
/bin                   /bin                    auto       bind,remount,ro,nodev                          0       0

/sbin                  /sbin                   auto       bind                                           0       0
/sbin                  /sbin                   auto       bind,remount,ro,nodev                          0       0

/lib                   /lib                    auto       bind                                           0       0
/lib                   /lib                    auto       bind,remount,ro,nodev,nosuid                   0       0

/var/lib/dpkg          /var/lib/dpkg           auto       bind                                           0       0
/var/lib/dpkg          /var/lib/dpkg           auto       bind,remount,ro,nosuid,nodev                   0       0

После применения подобных изменений даже случайное выполнение от рута rm -rf / или рекурсивного chown/chmod от корня оставит шанс на быстрое восстановление системы, пока она еще работает - ведь сохранятся неизменными основные библиотеки, исполняемые файлы, база пакетов и т.п.

В таком же стиле можно описать больше каталогов - например, логичным было бы сделать защиту /etc от изменений (но не забываем, что там есть файлы, изменяющиеся при старте или работе системы, скрипты и так далее), или, например, ограничить домашние каталоги пользователей.

Особенности

При использовании такой конфигурации всплывают 2 особенности:

• Во-первых, некоторые приложения - а особенно APT - требуют, чтобы /tmp был исполняемый - там размещаются и выполняются скрипты настроек в процессе установки и конфигурации пакетов.
• Во-вторых, как ставить пакеты или обновлять систему, если большая часть ФС в Read Only?

Обе проблемы решаются добавлением нескольких строк в конфиг-файл APT - /etc/apt/apt.conf:

---

Dpkg::Pre-Invoke {"for i in /boot /usr /opt /bin /sbin /lib /var/lib/dpkg ; do mount -o remount,rw $i ; done";};
Dpkg::Post-Invoke {"for i in /boot /usr /opt /bin /sbin /lib /var/lib/dpkg ; do mount -o remount,ro $i ; done";};
APT::ExtractTemplates::TempDir "/root";

---

Первые 2 строки перемонтируют перечисленные точки монтирования в RW до начала установки пакетов и обратно в RO - после.

Третья строка переопределяет временный каталог размещения скриптов. Это может быть любой exec-каталог, доступный на запись руту.

Заметки

• В Debian Squeeze немного странная организация монтирований ФС при старте системы - есть некий /lib/init/rw, который монтируется в tmpfs и где находятся какие-то флаги. Однако если /lib при старте будет в RO, то вылетает ошибка на создании различных файлов в этом каталоге, в том числе фейлится монтирование /var/run и /var/lock в tmpfs. Возможно, проблема из-за неправильной последовательности монтирования каталогов. В Wheezy этой проблемы нет.
• apt-get update упорно пытается что-то сделать с лок-файлом /var/lib/dpkg/lock во время перечитывания списка пакетов. Причем, файл есть что до обновления, что в процессе, что после. Если туда поместить какой-то контент - он остается. Пересоздается (если не существует) во время чтения списка загруженных пакетов. Опции для задания другого пути к файлу не нашел. Для того, чтобы всякие скрипты, проверяющие обновления по крону, не ругались на недоступный для записи файл, можно выполнять обновление с опцией:

apt-get -o Debug::NoLocking=1 update

• Не забываем, что "все есть файл" - и раз монтировать можно каталоги, то почему бы не монтировать файлы в самих себя? Пример реализации ниже:

rain@elitebook:/tmp$ mkdir dir
rain@elitebook:/tmp$ touch dir/file
rain@elitebook:/tmp$ sudo mount -o bind dir dir
rain@elitebook:/tmp$ sudo mount -o bind,remount,ro dir dir
rain@elitebook:/tmp$ sudo mount -o bind dir/file dir/file
mount: warning: dir/file seems to be mounted read-only.
rain@elitebook:/tmp$ sudo mount -o bind,remount,rw dir/file
rain@elitebook:/tmp$ echo 123 > dir/somefile
bash: dir/somefile: Файловая система доступна только для чтения
rain@elitebook:/tmp$ echo 123 > dir/file
rain@elitebook:/tmp$ cat dir/file
123

Т.е., имеем доступный только на чтение каталог с файлами (одним файлом в данном случае), но доступным на запись одним файлом. Например, можно сделать RO каталог /etc, но открыть на запись /etc/passwd, /etc/shadow, чтобы пользователи могли менять пароли или шелл. И так далее в том же духе. В некотором роде такой себе глобальный immunable, но работающий на любой линуксовой ФС, а не только на extN

Ссылки

• http://serverfault.com/questions/72356/how-useful-is-mounting-tmp-noexec