Tại sao cần phải gắn kết một phân vùng với nosuid khi noexec có mặt?

Tôi đang sử dụng Fedora Core. Tôi sẽ tạo một phân vùng / dữ liệu nơi người dùng đăng một số dữ liệu (tất cả đều có quyền r + w). Do đó, vì mục đích bảo mật, tôi phải làm cho nó không thể thực thi được.

Tôi hiểu từ bảo mật Linux rằng noexecvà nosuidcả hai phải được bật cho / dữ liệu trong khi cài đặt. Tôi hiểu noexecvà kích hoạt nó. Tuy nhiên tôi không nosuidkích hoạt.

Bất kỳ lý do tại sao cả hai noexecvà nosuidnên được kích hoạt cho / dữ liệu? Không có noexecđủ - vì người dùng sẽ không thể chạy tập lệnh và các chương trình khác, và nosuidkhông quan trọng?

linux security partitioning

— zethra
nguồn

Bạn sẽ nghĩ như vậy [đó nosuidlà dư thừa], vâng. Bạn có thể trích dẫn bất kỳ tài liệu tham khảo nào được khuyến nghị rằng bạn cần bật nosuidngay cả khi noexecđã được bật không?

— Celada

Thật ra tôi đã thấy điều đó ở khắp mọi nơi. Ngay cả các điểm chuẩn CIS cũng nosuid là một kiểm tra khác nhau trên phân vùng / tmp. Các tài liệu tham khảo khác chỉ bằng cách googling: techrepublic.com/blog/opensource/ cấp

— zethra

Tôi phải đoán rằng họ chỉ an toàn: vì vậy nếu bạn quên đặt noexecít nhất bạn vẫn có nosuid. Mặc dù đó là một đối số yếu vì cả hai cờ được cấu hình ở cùng một vị trí, vì vậy nếu bạn quên một cái thì bạn cũng có khả năng quên cái kia!

— Celada

Theo trang người đàn ông gắn kết

noexec

Không cho phép thực thi trực tiếp bất kỳ nhị phân nào trên hệ thống tệp được gắn. (Cho đến gần đây, dù sao cũng có thể chạy nhị phân bằng cách sử dụng lệnh như /lib/ld*.so / mnt / binary. Thủ thuật này không thành công kể từ Linux 2.4.25 / 2.6.0.)

Vì vậy, điều này có vẻ như đó là lời khuyên cũ từ khi noexec không ngăn tất cả các nhị phân chạy, ít nhất là chúng không chạy với quyền riêng tư gốc.

— thú cưng
nguồn

Nếu bạn chạy chương trình thực thi với thủ thuật đó, liệu nó có nhận được quyền set-uid không?

— Barmar