Secure ProcFS Entries/fr

From Linux-VServer

Jump to: navigation, search


Depuis les versions stable 1.23 et développement 1.3.5, vous pouvez protéger les entrées du système de fichier /proc, de manière à ce qu'elles ne soient pas visibles dans tous les contextes. Le système est constitué de trois drapeaux: admin, watch et hide (caché). Pour les activer ou les consulter, vous devez utiliser une version récente du paquet util-vserver, qui contient setattr et showattr. (Un autre outil existe, vproc, mais ne sera pas détaillé ici). La logique derrière ces drapeaux a été modifiée dans la release expérimentale 0.09, et les nouvelles releases stable et devel utilisent aussi cette logique. Nous ne parlerons pas de l'ancienne logique.

Note: Pour faire allusion aux drapeaux, j'utiliserai la syntaxe de l'outil showattr du paquet util-vserver, ou a est mis pour admin, w pour watch et h pour hide (caché). De plus, une minuscule signifie désactivé alors qu'une majuscule signifie activé.

Contents

Flag logic (Linux-VServer 2.4 branch > 1.3.7 / 2.6 branch > 0.08)

Les drapeaThe flags have the following meanings:

Drapeau Signification
admin toujours visible dans le contexte 0
watch toujours visible dans le contexte 1
hide caché

La correspondance entre drapeaux et visibilité est donnée par la table suivante:

Drapeau Signification
* * h Visible partout (les drapeaux admin et watch n'ont pas d'effet)
A w H Visible seulement dans le contexte 0
a W H Visible seulement dans le contexte 1
A W H Visible dans les contextes 0 et 1
a w H Totalement invisible (irreversible sans reboot!)

Drapeaux par Default

Les drapeaux sont mis par défaut à:

  • toutes les entrées de /proc sont visibles partout (branche stable)
  • toutes les entrées de /proc sont visibles seulement dans le contexte 0 (branches devel et expérimentale)

Activation des drapeaux

Pour activer ces drapeaux vous devez utiliser l'outil setattr (à partir de util-vserver >= 0.30.193), dont l'usage est assez clair d'après l'aide en ligne de commande. Pour faire en sorte que l'entrée /proc/loadavg soit visible partout, désactivez par exemple le drapeau hide (caché):

setattr --~hide /proc/loadavg

Peu importe la position des drapeaux admin et watch, puisque hide n'est controlé que par le drapeau hide. Pour éviter aux vservers d'avoir accès aux informations à propos des interruptions, vous devez cacher l'entrée /proc/interrupts. Si vous voulez pouvoir y accéder depuis le context admin uniquement (contexte 0), utilisez simplement:

setattr --hide --admin --~watch /proc/interrupts

vprocunhide

Les outils alpha util-vserver sont livrés avec un outil appelé vprocunhide qui attribue des drapeaux raisonnables pour un certain nombre d'entrées proc, dont on a généralement besoin. Un script d'init est aussi fourni, situé en principe dans /usr/local/etc/init.d/vprocunhide, et que vous pouvez include dans votre séquence de démarrage.

Personal tools