URL: https://linuxfr.org/news/linux-capabilities-se-passer-des-commandes-su-et-sudo
Title: Linux capabilities : se passer des commandes su et sudo
Authors: samerw
 Benoît Sibaud, ZeroHeure, Pierre Jarillon, Davy Defaud et bubar🦥
Date: 2018年09月05日T15:03:42+02:00
License: CC By-SA
Tags: rootasrole, capabilities, su et sudo
Score: 59
Nous proposons un module qui permet de se passer des commandes `su` et `sudo`. L’avantage de notre module est qu’il permet de contrôler la liste des privilèges donnés aux programmes.
Traditionnellement, l’administration des systèmes GNU/Linux repose sur l’existence d’un seul utilisateur puissant (appelé super‐utilisateur) qui détient à lui seul la liste complète des privilèges du système. Cette vision a été critiquée car tous les programmes exécutés dans le contexte du super‐utilisateur obtiennent beaucoup plus de privilèges qu’ils n’en ont besoin. Par exemple, `tcpdump` demande uniquement le privilège `cap_net_raw` pour s’exécuter. Cependant, en l’exécutant dans le contexte de super‐utilisateur, `tcpdump` obtient la liste complète des privilèges du système. Ainsi, l’approche traditionnelle de l’administration GNU/Linux rompt le principe du moindre privilège, qui garantit qu’un processus doit juste avoir les privilèges nécessaires pour effectuer son travail. Un attaquant pourrait exploiter les vulnérabilités de `tcpdump` afin de compromettre la sécurité du système.
Il existe cependant une autre voie, non officielle, mais intégrée au noyau Linux depuis 1998...
----
[RAR module](https://github.com/SamerW/RootAsRole/)
----
Un brouillon POSIX (POSIX draft 1003.1e) avait été proposé afin de définir un modèle qui permet de donner aux processus uniquement les privilèges de super‐utilisateur dont ils ont besoin. La proposition définit pour chaque processus trois ensembles de _bitmaps_ appelés _Inheritable_ (i), _Permitted_ (p) et _Effective_ (e). Ce modèle n’a pas été adopté officiellement, mais il a été intégré au noyau Linux depuis 1998.
Cependant, pour différentes raisons, ce modèle n’a pas été largement utilisé : 
1. Premièrement, le modèle de capacité de Linux présente différents problèmes techniques en raison de l’utilisation d’attributs étendus pour stocker les privilèges dans les exécutables (problème 1). 
2. Deuxièmement, les administrateurs de systèmes GNU/Linux ne disposent pas d’un outil leur permettant de distribuer les privilèges aux utilisateurs de manière fine (problème 2). La distribution fine de privilèges devrait donner aux administrateurs la possibilité de décider quels privilèges accorder aux utilisateurs, quels programmes (par exemple, `tcpdump`) peuvent utiliser ces privilèges et sur quelles ressources ces privilèges peuvent être appliqués (par exemple, interface réseau _eth0_). 
3. Troisièmement, GNU/Linux ne fournit pas d’outil permettant aux utilisateurs de connaître le privilège demandé par une application (problème 3). 
4. Quatrièmement, GNU/Linux est livré avec des commandes de base qui ne sont pas compatibles avec des privilèges, tels que la commande `passwd` (problème 4). 
En conséquence, la majorité des utilisateurs de GNU/Linux utilisent toujours les commandes `su` et `sudo` pour exécuter des applications privilégiées, car le modèle super‐utilisateur présente l’avantage d’être facile à utiliser.
Récemment, un nouvel ensemble de privilèges appelé _Ambient_ a été intégré au noyau Linux afin de résoudre les problèmes techniques liés au stockage des privilèges dans les attributs étendus des exécutables. Cependant, le système GNU/Linux ne fournit pas de solutions pour gérer les problèmes deux et trois.
Le module RAR (_Root As Role_) implémente une approche basée sur les rôles pour distribuer les privilèges aux utilisateurs. Il fournit une solution au problème deux : notre module est livré avec un outil appelé `sr` (_switch role_) qui permet aux utilisateurs de contrôler la liste des privilèges qu’ils accordent aux programmes.
Ainsi, avec notre module, les utilisateurs de GNU/Linux peuvent cesser d’utiliser les commandes `sudo` et `su`, qui ne permettent pas de contrôler la liste des privilèges à donner aux programmes. 
Il existe déjà des outils permettant de contrôler la liste des privilèges à attribuer aux programmes tels que `setcap` et le module `pam_cap`. Cependant, ces outils nécessitent l’utilisation d’attributs étendus pour stocker les privilèges. Or stocker des privilèges dans des attributs étendus pose de nombreux problèmes. Notre module permet d’attribuer les privilèges Linux sans avoir besoin de les stocker dans les attributs étendus des fichiers exécutables. 
Grâce à ce module, les administrateurs peuvent regrouper les privilèges Linux dans des rôles et les donner à leurs utilisateurs. Pour des raisons de sécurité, les utilisateurs n’obtiennent pas les rôles attribués par défaut, ils doivent les activer à l’aide de la commande `sr` (changer de rôle). 
Notre module est compatible avec `pam_cap.so`, les administrateurs peuvent donc continuer à utiliser `pam_cap.so` avec lui. 
Concrètement, notre module permet de respecter le principe du moindre privilège en donnant aux utilisateurs la possibilité de contrôler la liste des privilèges qu’ils accordent à leurs programmes.
Le code (GPL v3) et des exemples plus complets sont disponibles sur la [page GitHub du projet](https://github.com/SamerW/RootAsRole/).
</div><div class="naked_ctrl">
<form action="/index.cgi/contrast" method="get" name="gate">
<p><a href="http://altstyle.alfasado.net">AltStyle</a> によって変換されたページ <a href="httpS://linuxfr.org/news/linux-capabilities-se-passer-des-commandes-su-et-sudo.md">(-&gt;オリジナル)</a>
/ <label>アドレス: <input type="text" name="naked_post_url" value="httpS://linuxfr.org/news/linux-capabilities-se-passer-des-commandes-su-et-sudo.md" size="22" /></label> <label>モード: <select name="naked_post_mode">
<option value="default">デフォルト</option>
<option value="speech">音声ブラウザ</option>
<option value="ruby">ルビ付き</option>
<option value="contrast" selected="selected">配色反転</option>
<option value="larger-text">文字拡大</option>
<option value="mobile">モバイル</option>
</select>
<input type="submit" value="表示" />
</p>
</form>
</div>