Linux Essentials//Die Einsteiger-Zertifizierung des LPI - Linup Front ...

206 14 Zugriffsrechte
nem Benutzer als Eigentümer zugeordnet. Dies ist in der Regel der Benutzer, der
den Prozess gestartet hat – auch hier haben Prozesse, die mit Administratorrechten
gestartet wurden, die Möglichkeit, ihre Identität zu ändern, und der SUID-
Mechanismus (Abschnitt 14.4) kann hier ebenfalls eingreifen.
Die Eigentümer der Prozesse werden vom Programm ps angezeigt, wenn es
mit der Option -u aufgerufen wird.
# ps -u
USER PID %CPU %MEM SIZE RSS TTY STAT START TIME COMMAND
bin 89 0.0 1.0 788 328 ? S 13:27 0:00 rpc.portmap
test1 190 0.0 2.0 1100 28 3 S 13:27 0:00 bash
test1 613 0.0 1.3 968 24 3 S 15:05 0:00 vi XF86.tex
nobody 167 0.0 1.4 932 44 ? S 13:27 0:00 httpd
root 1 0.0 1.0 776 16 ? S 13:27 0:03 init [3]
root 2 0.0 0.0 0 0 ? SW 13:27 0:00 (kflushd)
14.4 Besondere Zugriffsrechte für ausführbare Dateien
Beim Auflisten der Dateien mit dem Befehl »ls -l« bekommen Sie bei manchen
Dateien neben den bekannten Zugriffsrechten rwx abweichende Anzeigen wie
-rwsr-xr-x 1 root shadow 32916 Dec 11 20:47 /usr/bin/passwd
Was soll das? Hierzu müssen wir etwas weiter ausholen:
Angenommen, das Programm passwd sei mit folgenden Zugriffsrechten versehen:
-rwxr-xr-x 1 root shadow 32916 Dec 11 20:47 /usr/bin/passwd
SUID-Bit
Ein normaler (unprivilegierter) Benutzer, sagen wir mal hugo, möchte nun sein
Kennwort ändern und ruft das Kommando passwd auf. Als nächstes erhält er die
Meldung “permission denied”. Was ist die Ursache? Der passwd-Prozess (der mit den
Rechten von hugo läuft) versucht die Datei /etc/shadow zum Schreiben zu öffnen
und scheitert natürlich, da nur root die erforderliche Schreibberechtigung besitzt
– dies darf auch nicht anders sein, sonst könnte jeder die Kennwörter beliebig
manipulieren, etwa um das root-Kennwort zu ändern.
Mit Hilfe des Set-UID-Bits (oft kurz »SUID-Bit« genannt) kann dafür gesorgt
werden, dass ein Programm nicht mit den Rechten des Aufrufers, sondern des Dateieigentümers
– hier root – ausgeführt wird. Im Fall von passwd hat der Prozess, der
passwd ausführt, also Schreibrecht auf die Datei /etc/shadow, obwohl der aufrufende
Benutzer als Nicht-Systemadministrator dieses Schreibrecht sonst nicht hat. Es
liegt in der Verantwortung des Programmierers von passwd, dafür zu sorgen, dass
mit diesem Recht kein Schindluder getrieben wird, etwa indem Programmierfehler
ausgenutzt werden, um beliebige Dateien außer /etc/shadow zu manipulieren
oder andere Einträge in /etc/shadow außer dem Kennwortfeld des aufrufenden Benutzers
zu verändern. Unter Linux funktioniert der Set-UID-Mechanismus übrigens
nur für Maschinencode-Programme, nicht für Shell- oder andere Interpreter-
Skripte.
B
Die Bell Labs hatten eine Weile lang ein Patent auf den – von Dennis Ritchie
erfundenen – SUID-Mechanismus [SUID]. AT&T hatte Unix zuerst nur
unter der Voraussetzung verteilt, dass nach der Erteilung des Patents Lizenzgebühren
erhoben werden würden; wegen der logistischen Schwierigkeit,
Jahre später von Hunderten von Unix-Installationen rückwirkend kleine
Geldbeträge einzutreiben, entschloss man sich jedoch, das Patent der Allgemeinheit
zur Verfügung zu stellen.
Copyright © 2012 Linup Front GmbH