Tại sao sshd yêu cầu một đường dẫn tuyệt đối?

23

Tại sao sshdyêu cầu một đường dẫn tuyệt đối khi khởi động lại, ví dụ như /usr/sbin/sshdthay vìsshd

Có bất kỳ ý nghĩa bảo mật?

PS thông báo lỗi:

# sshd
sshd re-exec requires execution with an absolute path

— hoa cúc
nguồn

20

Điều này đặc trưng cho OpenSSH từ phiên bản 3.9 trở đi.

Đối với mỗi kết nối mới, sshd sẽ tự thực hiện lại, để đảm bảo rằng tất cả các ngẫu nhiên thời gian thực hiện được tạo lại cho mỗi kết nối mới. Để sshd tự thực hiện lại, nó cần biết đường dẫn đầy đủ đến chính nó.

Đây là một trích dẫn từ các ghi chú phát hành cho 3.9:

Làm cho sshd (8) tự thực hiện lại khi chấp nhận kết nối mới. Biện pháp bảo mật này đảm bảo rằng tất cả các ngẫu nhiên trong thời gian thực hiện được áp dụng lại cho mỗi kết nối thay vì một lần, trong suốt vòng đời của quy trình tổng thể. Điều này bao gồm ánh xạ mmap và malloc, địa chỉ thư viện dùng chung, thứ tự ánh xạ thư viện dùng chung, cookie ProPolice và StackGhost trên các hệ thống hỗ trợ những thứ đó

Trong mọi trường hợp, thường là tốt hơn để khởi động lại một dịch vụ bằng cách sử dụng tập lệnh init (ví dụ /etc/init.d/sshd restart) hoặc sử dụng service sshd restart. Nếu không có gì khác, nó sẽ giúp bạn xác minh rằng dịch vụ sẽ bắt đầu đúng sau lần khởi động lại tiếp theo ...

( câu trả lời ban đầu, bây giờ không liên quan: Dự đoán đầu tiên của tôi sẽ /usr/sbinkhông nằm trong $ PATH của bạn. )

— Jenny D
nguồn

Tất nhiên là bằng $ PATH, nếu không thì làm cách nào tôi có thể nhận được thông báo lỗi đó từ sshd ;-P

— daisy

6

Bạn có nghĩa là thông báo lỗi bạn đã không đề cập trong bài viết của bạn?

— Jenny D

2

Xấu của tôi, đã chỉnh sửa bài đăng

— daisy

6

Điều này là để ngăn người khác tiêm sshdchương trình vào một trong những thư mục trong bạn PATH và bạn vô tình thực hiện chương trình đó. Đây bài từ năm 2004 đã mô tả vấn đề này.

— Timo
nguồn

Trong khi bài đăng đó mô tả chính xác vấn đề, các kết luận rút ra trong luồng là sai. Đây không phải là một lỗi, đó là một tính năng :-)

— Jenny D

@JennyD Tại sao bạn nghĩ đó là một lỗi? Tôi không bao giờ ngụ ý rằng.

— Timo

Trong bài đăng mà bạn đã liên kết đến, một phản hồi là "Lỗi xuất hiện thông qua việc nâng cấp lên bản mở rộng mới nhất". Không có câu trả lời nào trong chủ đề đó đề cập đến lý do thực tế để yêu cầu một đường dẫn đầy đủ - một số đề cập đến cùng một lý do bạn làm, điều này rất hợp lý và cho thấy lý do tại sao nên sử dụng đường dẫn đầy đủ cho bất kỳ khả năng đăng nhập mở chương trình nào. Nhưng đó không phải là lý do thực sự cho chương trình cụ thể này có yêu cầu đó.

— Jenny D