Perché mount richiede i privilegi di root?

Perché Linux richiede che un utente sia root / usi sudo / specificamente autorizzato per mount per montare qualcosa? Sembra che la decisione se consentire a un utente di montare qualcosa debba essere basata sui propri diritti di accesso al volume di origine / condivisione di rete e al punto di montaggio. Un paio di usi per il montaggio non root sono il montaggio di immagini di file system in una direzione di proprietà dell'utente e il montaggio di una condivisione di rete in una directory di proprietà dell'utente. Sembra che se l'utente ha il controllo su entrambi i lati dell'equazione di mount tutto dovrebbe essere interessante.

Chiarimento della restrizione d'accesso:

Sento che dovrei essere in grado di montare tutto ciò che l'utente avrebbe altrimenti accesso a un punto di montaggio di cui l'utente è il proprietario.

Ad esempio, sul mio computer / dev / sda1 è di proprietà dell'utente root e del disco di gruppo con autorizzazioni brw-rw----. Pertanto gli utenti non root non possono scherzare con / dev / sda1 e chiaramente mount non dovrebbe consentire loro di montarlo. Tuttavia, se l'utente possiede /home/my_user/my_imagefile.img e mount point / home / my_user / my_image / perché non dovrebbero essere in grado di montare quel file di immagine su quel mount point con:

mount /home/my_user/my_imagefile.img /home/my_user/my_image/ -o loop

Come ha sottolineato Kormac, c'è un problema di sussidio. Pertanto, è necessario aggiungere alcune restrizioni per evitare che i sussidi costituiscano un problema, nonché potenzialmente altri problemi. Forse un modo per farlo sarebbe far sì che il sistema operativo tratti tutti i file come appartenenti all'utente che ha effettuato il montaggio. Tuttavia, per leggere / scrivere / eseguire semplicemente, non vedo perché questo sarebbe un problema.

Caso d'uso:

Ho un account in un laboratorio in cui il mio spazio domestico è limitato a 8 GB. Questo è minuscolo e molto molto fastidioso. Vorrei montare un volume nfs dal mio server personale per aumentare sostanzialmente la quantità di spazio che ho. Tuttavia, poiché Linux non consente tali cose, sono bloccato con i file di scansione avanti e indietro per rimanere al di sotto del limite di 8 GB.

È una restrizione sia storica che di sicurezza.

Storicamente, la maggior parte delle unità non erano rimovibili. Quindi aveva senso limitare il montaggio a persone che avevano un accesso fisico legittimo e che avrebbero probabilmente accesso all'account di root. Le voci fstab consentono agli amministratori di delegare il montaggio ad altri utenti per le unità rimovibili.

Da un punto di vista della sicurezza, ci sono tre problemi principali nel consentire agli utenti arbitrari di montare dispositivi a blocchi arbitrari o immagini di filesystem in posizioni arbitrarie.

• Il montaggio in una posizione non di proprietà ombreggia i file in quella posizione. Ad esempio: monta un filesystem di tua scelta su /etc, con un /etc/shadowcontenente una password di root che conosci. Questo problema viene risolto consentendo a un utente di montare un filesystem solo su una directory di sua proprietà.
• I driver del filesystem spesso non sono stati testati così accuratamente con il filesystem non valido. Un driver di file system difettoso potrebbe consentire a un utente che fornisce un file system non valido di iniettare codice nel kernel.
• Il montaggio di un filesystem può consentire al mounter di far apparire alcuni file che altrimenti non avrebbe il permesso di creare. File eseguibili e dei dispositivi setuid sono gli esempi più evidenti, e sono fissati con le nosuide nodevopzioni che sono implicite avendo userin /etc/fstab.
  Finora far rispettare userquandomountnon è chiamato da root è abbastanza. Ma più in generale riuscire a creare un file di proprietà di un altro utente è problematico: il contenuto di quel file rischia di essere attribuito dal proprietario presunto invece che dal mounter. Una copia casuale che preserva gli attributi per root in un diverso filesystem produrrebbe un file di proprietà del proprietario dichiarato ma non coinvolto. Alcuni programmi verificano che una richiesta di utilizzo di un file sia legittima controllando che il file sia di proprietà di un determinato utente e ciò non sarebbe più sicuro (il programma deve anche verificare che le directory sul percorso di accesso siano di proprietà di quell'utente; se fosse consentito il montaggio arbitrario, dovrebbero anche verificare che nessuna di queste directory sia un punto di montaggio in cui il montaggio non è stato creato né da root né dall'utente desiderato).

Ai fini pratici, al giorno d'oggi è possibile montare un filesystem senza essere root, tramite FUSE . I driver FUSE funzionano come utente di montaggio, quindi non vi è alcun rischio di escalation di privilegi sfruttando un bug nel codice del kernel. I filesystem FUSE possono esporre solo i file che l'utente ha il permesso di creare, il che risolve l'ultimo problema sopra.

Se un utente ha accesso diretto in scrittura a un dispositivo a blocchi e può montare quel dispositivo a blocchi, può scrivere un eseguibile suid sul dispositivo a blocchi, montarlo, eseguirlo e quindi eseguire l'accesso root al sistema. Questo è il motivo per cui il montaggio è normalmente limitato a root.

Ora root può consentire agli utenti normali di montare con restrizioni specifiche, ma deve assicurarsi che se l'utente ha accesso in scrittura al dispositivo a blocchi, il mount non consente il suid e anche i devnode, che hanno un problema simile (l'utente può creare un nodo che fornisce loro l'accesso in scrittura a un dispositivo importante a cui non dovrebbero avere accesso in scrittura).

Non richiede sempre super-privati. A partire dalman mount

   The non-superuser mounts.
          Normally,  only  the  superuser can mount filesystems.  However,
          when fstab contains the user option on a line, anybody can mount
          the corresponding system.

          Thus, given a line

                 /dev/cdrom  /cd  iso9660  ro,user,noauto,unhide

          any  user  can  mount  the iso9660 filesystem found on his CDROM
          using the command

                 mount /dev/cdrom

          or

                 mount /cd

          For more details, see fstab(5).  Only the user  that  mounted  a
          filesystem  can unmount it again.  If any user should be able to
          unmount, then use users instead of user in the fstab line.   The
          owner option is similar to the user option, with the restriction
          that the user must be the owner of the special file. This may be
          useful e.g. for /dev/fd if a login script makes the console user
          owner of this device.  The group option  is  similar,  with  the
          restriction  that  the  user  must be member of the group of the
          special file.

Kormac e altri hanno indicato che questo non è il dilemma in cui lo presenti; mi sembra che ciò dipenda dalla filosofia di garantire esplicitamente i privilegi degli utenti rispetto a un sistema in base al quale tutti gli utenti avrebbero il diritto immutabile di montare un filesystem.

Gilles risolve alcuni dei problemi di sicurezza associati al montaggio di filesystem. Eviterò retroattivamente una discussione prologata e tangenziale su potenziali problemi tecnici correlati a questo (vedi commenti) ma penso sia giusto che gli utenti non attendibili non abbiano un diritto immutabile al montaggio di dischi rigidi.

Il problema relativo ai filesystem virtuali e remoti (o filesystem remoti tramite filesystem virtuali, come la FUSE) è meno significativo, ma questo non risolve la domanda di sicurezza (sebbene FUSE potrebbe, e certamente risolverebbe il tuo problema). È anche importante considerare che i dati in tali filesystem sono quasi sempre accessibili senza la necessità di montare un dispositivo, attraverso il trasferimento di file o strumenti che estraggono da immagini senza montaggio, quindi un sistema che non ti consente di montare qualcosa lo fa non rappresentano un problema insormontabile per quanto riguarda l'accesso ai dati che hai inserito in modo bizzarro in un file di immagine o (più comprensibilmente) desideri ottenere da un sistema remoto. Se hai una situazione in cui non è così, potrebbe valere la pena chiedere:

1. Cosa sto esattamente cercando di fare?

2. Dove sto cercando di farlo?

Se l'amministrazione del sistema è corretta, il numero 2 spiega perché il numero 1 sia impossibile per te. Se l'amministrazione del sistema non è giusta, questa è politica . La soluzione al problema "Il mio amministratore di sistema non è corretto" non è quella di riprogettare il sistema operativo in modo che gli amministratori di sistema ovunque non possano limitare gli utenti.

Il sistema consente al superutente di limitare le tue attività, esplicitamente o per omissione ("Non forniamo FUSE", ecc.). I privilegi sono un meccanismo attraverso il quale questo viene realizzato. Potrebbe non essere bello sentirsi dire "Non è necessario farlo", ma se è vero ... que sera ... non è necessario farlo. Usa ftp, ecc. Se non è vero, dovresti assillare i responsabili.

FYI: I kernel più recenti hanno il supporto "namespace". Gli utenti ordinari possono creare uno spazio dei nomi, e all'interno di quello spazio dei nomi, diventare root e fare cose divertenti come montare i filesystem.

Non ti dà permessi "reali" da superutente - puoi solo fare ciò che ti è già stato permesso di fare (cioè puoi montare solo dispositivi che puoi già leggere).

http://lwn.net/Articles/531114/ Vedi sezione 4.

Perché i dati sul filesystem che intendono montare potrebbero compromettere la sicurezza del server, o addirittura bloccarlo (se è stato costruito intenzionalmente in quel modo).

In GNOME, gvfs non richiede root per montare il filesystem remoto (ftp o ssh) e gnome-mount non ha bisogno di root per montare l'archiviazione esterna (unità USB, CD / DVD, ecc.).

La maggior parte dei sistemi probabilmente non vorrebbe avere l'intero GNOME solo per un montaggio remoto, quindi puoi usare lufs , sshfs o ftpfs .

gvfs, lufs, sshfs e ftpfs utilizza FUSE per consentire agli utenti non root di montare il filesystem virtuale; e diversamente dai mount -o user, FUSE non richiede al sysadmin di organizzare specifici mount. Finché si dispone del privilegio per la directory di mount e per qualsiasi risorsa sia necessaria per costruire il filesystem, è possibile creare mount di FUSE.

Perché mount richiede i privilegi di root?

Perché mountè principalmente / originariamente destinato al filesystem locale, che coinvolge quasi sempre un hardware.