scponly chrooted suid -> ja / nein

[prickelpit]

Hi,

bei der Installation von scponly (klappt endlich mit sarge) werde ich vor folgende Alternative gestellt:

Code: Select all

Wenn Sie wollen, dass scponly in das home-Verzeichnis des Benutzers chrooted bevor es seine Arbeit aufnimmt, muss scponly zusätzlich als /usr/sbin/scponly installiert und suid root gesetzt werden.                                    

Dies könnte (im schlimmsten Fall) zu einer remote-root-Sicherheitslücke führen. Wenn Sie diese Funktionalität nicht benötigen, installieren sie diese Datei nicht. 

Chrooted /usr/sbin/scponlyc installieren und suid root (4755) setzen: ja/nein

Einerseits wäre ein "gechrooteter" scp-Zugang natürlich hübsch, andererseits ist ein möglicher remote root-Exploit natürlich sehr hässlich. Ich stehe beiden Alternativen noch etwas unentschieden gegenüber.

Mich würde mal eure Meinung zu dem Thema interessieren!

Gruß
Pit

[dodolin]

Hat der User auch Shell-Zugriff oder wirklich nur SCP?
Kann der User z.B. über Webscripte (CGI, PHP) System-Kommandos absätzen (was ja einer Shell gleichkäme)?

Wenn er irgendwas davon hat, ist chroot bei scponly IMHO überflüssig. Wenn der User keinerlei Shell-Zugriff hat und die chroot Funktionalität wirklich wichtig ist, dann könnte man es machen.

[prickelpit]

Hat der User auch Shell-Zugriff oder wirklich nur SCP?
Kann der User z.B. über Webscripte (CGI, PHP) System-Kommandos absätzen (was ja einer Shell gleichkäme)?

Nein, PHP-Befehle wie exec usw. sind deaktiviert, CGI steht nicht zur Verfügung.

Wenn er irgendwas davon hat, ist chroot bei scponly IMHO überflüssig. Wenn der User keinerlei Shell-Zugriff hat und die chroot Funktionalität wirklich wichtig ist, dann könnte man es machen.

Ok, erstmal THX für die Info. Muß mir das nochmal durch den Kopf gehen lassen.

Gruß
Pit

[Joe User]

Wenn Dich folgende Listings nicht ernsthaft beunruhigen, kannst Du IMO ruhig die chroot-Funktionalität nutzen:

Code: Select all

/usr/bin/find / -type f ( -perm -2 -o -perm -20 )  
   -exec ls -lg {} ; 2>/dev/null >writable.txt
/usr/bin/find / -type d ( -perm -2 -o -perm -20 )  
   -exec ls -ldg {} ; 2>/dev/null >>writable.txt
/usr/bin/find / -type f ( -perm -004000 -o -perm -002000 )  
   -exec ls -lg {} ; 2>/dev/null >suidfiles.txt

Quelle: http://www.gentoo.org/doc/en/gentoo-security.xml

[juergen]

Das sind alles nur Hacks. Sowohl proftpd, als auch vsftpd können inzwischen FTP über TLS/SSL

[prickelpit]

Das sind alles nur Hacks. Sowohl proftpd, als auch vsftpd können inzwischen FTP über TLS/SSL

Da der sshd ja eh' läuft bevorzuge ich irgendwie die scp-Variante, da ich mir so einen Dienst sparen kann.