Khi nào thì thích hợp / thận trọng khi sử dụng chroot?

Tôi nghe nói về việc cần phải nhai BIND mọi lúc. Đủ công bằng. Nhưng những gì về các chương trình khác? Các "quy tắc" (cá nhân hoặc được chấp nhận / thiết lập rộng rãi) để quyết định chương trình nào sẽ bị bỏ tù?

-M

Nói chung, bạn có thể muốn sử dụng chroot vì một số lý do:

• cần một phiên bản phân phối / kiến ​​trúc / phân phối khác mà không muốn sử dụng OpenVZ hoặc máy ảo. Ví dụ, tôi sử dụng chroots để có cả môi trường biên dịch i386 và amd64 trên máy amd64.
• hạn chế quyền truy cập vào hệ thống cho người dùng. Ví dụ: bạn có thể sử dụng chroot cùng với scponly để hạn chế các lệnh mà người dùng có quyền truy cập. Đây là một hệ thống tù rất hạn chế vì họ vẫn có quyền truy cập vào mạng chẳng hạn.
• hạn chế quyền truy cập vào hệ thống vào các chương trình. Nói chung, bạn có thể muốn làm điều đó cho daemon, chẳng hạn như liên kết hoặc apache. Bằng cách này, các chương trình này sẽ không có quyền truy cập trực tiếp vào hệ thống, vì vậy nếu kẻ tấn công có thể sử dụng vi phạm bảo mật của chương trình, nó sẽ không truy cập trực tiếp vào hệ thống, mà thay vào đó sẽ thấy mình ở bên trong chroot. Nó giúp tăng cường bảo mật, nhưng nó không đảm bảo rằng hệ thống của bạn an toàn.

Khi câu trả lời không phải là 'vì mục đích bảo mật.' Xem lạm dụng chroot .

Khi được đề xuất rằng chroot thường được sử dụng như một công cụ bảo mật, Adrian Bunk đã vặn lại, "những người không đủ năng lực thực hiện các giải pháp bảo mật là một vấn đề thực sự." Alan nói thêm, "chroot không phải và chưa bao giờ là một công cụ bảo mật. Mọi người đã xây dựng mọi thứ dựa trên các thuộc tính của chroot nhưng được mở rộng (tù BSD, Linux vserver) nhưng chúng hoàn toàn khác nhau."

Nếu bạn có một chương trình yêu cầu một bộ / phiên bản thư viện khác với chương trình được cài đặt trên hệ thống của bạn, thì đó sẽ là một ứng cử viên tốt cho cài đặt "chroot".

chroot cũng thuận tiện cho việc cài đặt phiên bản phân phối Linux khác nhau trong môi trường của riêng họ mà không cần sử dụng VM hoặc trình giả lập ( Thiết lập chroot Debian trong Red Hat ).

Tất cả phụ thuộc vào mức độ hoang tưởng của bạn. Đối với hầu hết các ý định và mục đích, mỗi dịch vụ nên được chroot-ed vì lý do bảo mật. Tuy nhiên, có thể không khả thi để làm điều này cho mọi thứ vì nó có thể hơi tẻ nhạt khi cố gắng sao chép mọi thứ. Một khả năng khác để xem xét cho mục đích cách ly là việc sử dụng các máy ảo trọng lượng nhẹ như OpenVZ / VServer, về cơ bản giống như chroot, chỉ hơn thế nữa.