🛌🏿 🕴️ 👩🏿‍🤝‍👩🏽 FreeBSD v.2.0 में अधिकारों का क्रेडेंशियल वितरण मॉडल 📪 🈚️ ⚛️

परिचय

इस प्रकाशन में, हम bsdextended क्रेडेंशियल मॉडल के बारे में बात करेंगे, हैंडबुक पर इसे फ़ाइल सिस्टम फ़ायरवॉल के रूप में वर्णित किया गया है। इस गाइड में मेरे द्वारा बताए गए इस दृष्टिकोण का लाभ यह तथ्य है कि यह कोई फर्क नहीं पड़ता कि कौन सी फाइल सिस्टम का उपयोग किया जाता है, क्योंकि प्रतिबंध फाइलों पर लेबल पर नहीं, बल्कि उपयोगकर्ताओं के यूआईडी और जीआईडी पर होगा।

प्रशिक्षण

सभी कार्रवाइयां जेल में की जाएंगी , इसलिए आपको शुरू में जेल को कॉन्फ़िगर करना होगा। यह मार्गदर्शिका जेल / जेल निर्देशिका में स्थापित जेल के साथ लिखी गई है। सबसे पहले, "ऑटोरन" में आवश्यक मॉड्यूल स्थापित करें, और उन्हें भी चलाएं (इन कार्यों को जेल में नहीं किया जाना चाहिए) और रूट अधिकारों के बिना www उपयोगकर्ता के पोर्ट 80, 443 का उपयोग करने की क्षमता निर्धारित करें:

echo 'mac_portacl_load="YES"' >>/boot/loader.conf
echo 'mac_bsdextended_load="YES"' >> /boot/loader.conf

kldload mac_portacl.ko
kldload mac_bsdextended.ko

sysctl net.inet.ip.portrange.reservedlow=0 
sysctl net.inet.ip.portrange.reservedhigh=0
sysctl security.mac.portacl.rules=uid:80:tcp:80,uid:80:tcp:443

echo 'net.inet.ip.portrange.reservedlow=0' >> /etc/sysctl.conf 
echo 'net.inet.ip.portrange.reservedhigh=0' >> /etc/sysctl.conf
echo 'security.mac.portacl.rules=uid:80:tcp:80,uid:80:tcp:443' >> /etc/sysctl.conf

अगला, जेल में, आपको अपाचे और php के निर्माण के लिए निर्भरता स्थापित करने की आवश्यकता है, और बंदरगाहों को भी स्थापित करना चाहिए:

pkg install apr autoconf autoconf-wrapper automake ca_root_nss cmake curl db5 dialog4ports expat fontconfig freetype2 gdbm gettext-runtime gettext-tools giflib gmake gmp gperf help2man indexinfo jbigkit jpeg-turbo jsoncpp libarchive libargon2 libffi libgcrypt libgd libgpg-error libiconv liblz4 libnghttp2 libtextstyle libtool libuv libxml2 libxslt libzip lzo2 m4 meson nasm ninja oniguruma p5-Locale-gettext p5-Locale-libintl p5-Text-Unidecode p5-Unicode-EastAsianWidth pcre pcre2 perl5 pkgconf png py37-Babel py37-Jinja2 py37-MarkupSafe py37-alabaster py37-asn1crypto py37-certifi py37-cffi py37-chardet py37-cryptography py37-cython py37-docutils py37-idna py37-imagesize py37-openssl py37-pycparser py37-pygments py37-pysocks py37-pystemmer py37-pytz py37-requests py37-setuptools py37-six py37-snowballstemmer py37-sphinx py37-sphinx_rtd_theme py37-sphinxcontrib-websupport py37-urllib3 python37 re2c readline rhash sqlite3 texinfo tiff webp openssl wget

portsnap fetch extract

सभा

आइए अपाचे पोर्ट निर्देशिका पर जाएं, इस निर्देशिका में आपको पोर्ट को "कॉन्फ़िगर" करने की आवश्यकता है ताकि यह / एनपीपी पोर्ट में स्थापित हो जाए:

mkdir /famp
cd /usr/ports/www/apache24
make config
make configure
cd work
cd httpd-2.4.43
./configure --prefix=/famp
cd ..//..
make BATCH=yes PREFIX=/famp install clean

इन जोड़तोड़ के बाद, अपाचे को / famp निर्देशिका में स्थापित किया जाएगा, php को इस तरह से स्थापित नहीं किया जा सकता है, इसलिए हम इसे स्रोत कोड से स्थापित करेंगे:

cd /
wget https://www.php.net/distributions/php-7.4.5.tar.xz
xz -d php-7.4.5.tar.xz
tar -xvf php-7.4.5.tar
cd php-7.4.5

इन जोड़तोड़ के बाद, आपको apx के सही रास्ते को निर्दिष्ट करने के लिए php बनाने की आवश्यकता है:

./configure --prefix=/famp --with-apxs2=/famp/sbin/apxs --with-openssl --with-zlib --with-curl --enable-mbstring --with-zip --enable-mysqlnd --enable-maintainer-zts --with-mysqli

gmake install

अनुकूलन

अगला कदम httpd.conf (साथ ही आवश्यक "कॉन्फिगर" के बाकी हिस्सों का सही कॉन्फ़िगरेशन होगा), rdd निर्देशिका की प्रतिलिपि बनाकर और आवश्यक निर्देशिकाएँ बना रहा है:

mkdir /famp/log
mkdir /famp/run

cp -R /famp/etc/rc.d/ /usr/local/etc/rc.d
#   /usr/local/etc/rc.d/apache24    ,    pid` 
_pidprefix="/famp/run/httpd"

# httpd.conf   

Mutex default:/famp/run
PidFile "/famp/run/httpd.pid"
ErrorLog "/famp/log/httpd-error.log"
CustomLog "/famp/log/httpd-access.log

#httpd-ssl.conf (     )
SSLSessionCache        "shmcb:/famp/run/ssl_scache(512000)"
DocumentRoot "/famp/www/apache24/data"
ErrorLog "/famp/log/httpd-error.log"
TransferLog "/famp/log/httpd-access.log"
CustomLog "/famp/log/httpd-ssl_request.log"
<Directory "/famp/www/apache24/cgi-bin">

Www के तहत से शुरू होने वाली सभी अपाचे प्रक्रियाओं के लिए, httpd फाइल पर सेट बिट को सेट करना आवश्यक है, और यह भी आवश्यक है कि मालिक को पुनरावर्ती निर्देशिका को उपयोगकर्ता www पर सेट करें और अपाचे को चलाएं:

chown -R www:www /famp
chmod 4755 /famp/sbin/httpd

अपाचे लॉन्च होने के बाद और आवश्यक लॉग फाइलें बनाई जाती हैं, आप अधिकारों को आवश्यक निर्देशिकाओं और फाइलों में बदल सकते हैं, लेकिन इससे पहले आपको ldconfig को संपादित करना होगा। यह उपयोगिता विभिन्न पुस्तकालयों के साथ निर्देशिकाओं के रास्तों के लिए ज़िम्मेदार है, / lib, / usr / lib, usr / local / lib निर्देशिकाओं के अधिकारों को बदलने के बाद, ldconfig उपयोगिता इन निर्देशिकाओं को वैध नहीं मानेंगी, इसके लिए यह उपयोगिता असुरक्षित मोड में चलनी चाहिए। रास्तों को देखने के लिए, आपको कमांड चलाना होगा:

ldconfig -r

असुरक्षित मोड में ldconfig चलाने के लिए, आपको इस कुंजी को i कुंजी के साथ चलाना होगा:

ldconfig -iR /lib /usr/lib /usr/lib/compat /usr/local/lib /usr/local/lib/compat/pkg /usr/local/lib/perl5/5.30/mach/CORE

/ Usr / lib निर्देशिका के लिए /usr/local/lib/libnghttp2.so.14 फ़ाइल की प्रतिलिपि बनाना भी आवश्यक है (यह स्पष्ट नहीं है कि अपाचे / usr / स्थानीय / lib निर्देशिका में क्यों नहीं दिखता है)

cp /usr/local/lib/libnghttp2.so.14 /usr/lib/libnghttp2.so.14

Apache को सही ढंग से काम करने के लिए निर्देशिका और फाइलों के अधिकार को बदलें:

#    jail
chflags noschg /jails/famp/lib/libcrypt.so.5
chflags noschg /jails/famp/lib/libc.so.7
chflags noschg /jails/famp/lib/libthr.so.3
chflags noschg /jails/famp/usr/lib/librt.so.1

#   jail
chown www:wheel /
chown -R www:www /famp
chown www:wheel /etc
chown www:wheel /tmp
chown -R www:wheel /dev
chown www:wheel /etc/passwd
chown www:wheel /etc/group
chown www:wheel /etc/pwd.db
chown www:wheel /lib
chown www:wheel /usr
chown www:wheel /usr/lib
chown www:wheel /usr/local
chown www:wheel /usr/local/lib
chown -R www:wheel /lib
chown -R www:wheel /usr/lib
chown -R www:wheel /usr/local/lib

sysrc apache24_enable="YES"
service apache24 start

इन जोड़तोड़ के बाद, अपाचे को उन सभी फ़ाइलों तक पहुंच प्राप्त होगी जो एक पृथक वातावरण में इसके संचालन के लिए आवश्यक हैं, लेकिन मेरी राय में यह पूरी तरह से सही नहीं है कि ये सभी फाइलें उपयोगकर्ता www से संबंधित हैं, इस कारण से अपरिवर्तनीय झंडे का उपयोग किया जा सकता है, इन्हें सेट नहीं किया जाना चाहिए और जेल से, चूंकि डिफ़ॉल्ट जेल सीमित अधिकारों से शुरू होती है:

chflags schg /jails/famp
chflags schg /jails/famp/etc
chflags schg /jails/famp/etc/passwd
chflags schg /jails/famp/etc/group
chflags schg /jails/famp/etc/pwd.db

chflags schg /jails/famp/lib
chflags schg /jails/famp/usr
chflags schg /jails/famp/usr/lib
chflags schg /jails/famp/usr/local
chflags schg /jails/famp/usr/local/lib

chflags -R schg /jails/famp/lib
chflags -R schg /jails/famp/usr/lib
chflags -R schg /jails/famp/usr/local/lib

chflags -R schg /jails/famp/famp
#       ,         
chflags -R noschg /jails/famp/famp/log
chflags -R noschg /jails/famp/famp/run
chflags -R noschg /jails/famp/famp/www/apache24/data/cache

# sunlink   ,   (    tmp, cache, log, run    ,     apache      ) 
chflags sunlink /jails/famp/dev
chflags sunlink /jails/famp/tmp
chflags sunlink /jails/famp/famp/www/apache24/data/cache
chflags -R sunlink /jails/famp/famp/log
chflags sunlink /jails/famp/famp/run

#  sappend     , ..   apache    ,      .
chflags -R sappend /jails/famp/famp/log

आवश्यक अधिकारों की स्थापना और अपाचे शुरू करने के लिए, साथ ही असुरक्षित मोड में ldconfig शुरू करने (जेल में निष्पादित करने) के लिए एक स्पर्श योग्य फ़ाइल का निर्माण होगा।

touch /etc/rc.d/0
chmod +x /etc/rc.d/0
#      
ldconfig -iR /lib /usr/lib /usr/lib/compat /usr/local/lib /usr/local/lib/compat/pkg /usr/local/lib/perl5/5.30/mach/CORE
#    /dev          sysctl   pid`   ssl
chown -R www:wheel /dev
service apache24 start

अंत में, अंतिम स्पर्श bsdextended के लिए पैरामीटर सेट करना होगा, आपको एक निष्पादन योग्य फ़ाइल बनाने की भी आवश्यकता है ताकि ये प्रतिबंध हर बार काम करें जब सिस्टम बूट हो (जेल में नहीं):

touch /etc/rc.d/0
chmod +x /etc/rc.d/0
#    
ugidfw set 2 subject uid www object ! uid www mode n
#      
ugidfw set 2 subject uid www object ! uid www mode n

यह विकल्प www उपयोगकर्ता को उन फ़ाइलों और निर्देशिकाओं तक पहुंचने से रोकेगा, जो www उपयोगकर्ता के स्वामित्व में नहीं हैं।

निष्कर्ष

जैसा कि इस प्रकाशन से देखा जा सकता है, प्रक्रियाओं को सीमित करने के लिए इस तरह की विधि वेब सर्वर के लिए उच्च स्तर की सुरक्षा का नेतृत्व करेगी (साथ ही किसी भी अन्य स्टैक से जिसमें यह विधि लागू की जाएगी)।

उन स्रोतों की सूची जिन्होंने मुझे इस प्रकाशन को लिखने में बहुत मदद की।
www.freebsd.org/doc/ru_RU.KOI8-R/books/handbook/mac-bsdextended.html
www.freebsd.org/doc/ru_RU.KOI8-R/books/handac/mac-portacl.html

FreeBSD v.2.0 में अधिकारों का क्रेडेंशियल वितरण मॉडल

परिचय

प्रशिक्षण

सभा

अनुकूलन

निष्कर्ष

More articles: