Warum muss eine Partition mit nosuid gemountet werden, wenn noexec vorhanden ist?

10

Ich benutze Fedora Core. Ich soll eine Partition / Daten erstellen, in der Benutzer einige Daten veröffentlichen (alle haben R + W-Berechtigungen). Aus Sicherheitsgründen muss ich es daher nicht ausführbar machen.

Ich verstehe von Linux Sicherheit , dass noexecund nosuidmüssen sowohl für die / Daten bei der Montage ermöglicht werden. Ich verstehe noexecund habe es aktiviert. Allerdings habe ich nicht nosuidaktiviert.

Gibt es einen Grund, warum beide noexecund nosuidfür / data aktiviert werden sollten? Reicht es nicht aus, nur zu haben noexec- da die Benutzer keine Skripte und andere Programme ausführen können und nosuides keine Rolle spielt?

linux security partitioning Zethra
quelle
Sie würden so denken [das nosuidist überflüssig], ja. Können Sie einen Verweis zitieren, der empfohlen hat, dass Sie ihn aktivieren müssen nosuid, obwohl er noexecbereits aktiviert wurde?
Celada
Eigentlich habe ich das überall gesehen. Selbst CIS-Benchmarks geben an, dass nosuid eine andere Check-on / tmp-Partition ist. Andere Referenzen sind nur durch googeln: techrepublic.com/blog/opensource/…
zethra
1
Ich muss raten, dass sie nur in Sicherheit sind. Wenn Sie also vergessen, noexeczumindest zu setzen, haben Sie immer noch nosuid. Es ist jedoch ein schwaches Argument, da beide Flags an derselben Stelle konfiguriert sind. Wenn Sie also eines vergessen, werden Sie wahrscheinlich auch das andere vergessen!
Celada

Antworten:

2

Laut der Mount Manpage

noexec

Erlauben Sie keine direkte Ausführung von Binärdateien auf dem bereitgestellten Dateisystem. (Bis vor kurzem war es trotzdem möglich, Binärdateien mit einem Befehl wie /lib/ld*.so / mnt / binary auszuführen. Dieser Trick schlägt seit Linux 2.4.25 / 2.6.0 fehl.)

Das sieht also so aus, als wäre es ein alter Ratschlag, als noexec nicht alle Binärdateien am Laufen hinderte, zumindest nicht mit Root-Privilegien.

Petechen
quelle
1
Wenn Sie die ausführbare Datei mit diesem Trick ausgeführt hätten, hätte sie dann Set-UID-Berechtigungen erhalten?
Barmar