Jinsi ya kuendesha huduma bila kutumia root

Kwa nini usianze kuendesha kila kitu kama root

Root anaweza kufanya lolote kwenye mashine: kusoma kila faili, kubadilisha mipangilio yoyote, au kufuta mfumo mzima. Unapoiendesha huduma kama root, unampa huduma hiyo nguvu hiyo yote. Ikiwa huduma ina hitilafu (bug) inayoweza kutumiwa na mshambuliaji, hawataipata huduma tu, bali watapata root, na root ni seva nzima. Kuendesha kama mtumiaji asiye na mamlaka (unprivileged user) huzuia uharibifu. Hitilafu katika huduma inayojiendesha kama akaunti yenye ukomo inampa mshambuliaji vitu vilivyo ndani ya ukomo wa akaunti hiyo, ambavyo vinapaswa kuwa kidogo sana.

Huu ndio kanuni ya mamlaka ya chini kabisa (principle of least privilege): mpe kila sehemu ya mfumo ufikiaji unaohitaji tu ili kufanya kazi yake, na si zaidi. Ni tabia bora zaidi kwa ajili ya kupunguza athari za uvunjaji wa usalama, na kwenye seva ya kisasa, ni rahisi kutekeleza bila gharama kubwa.

Akaunti maalum kwa kila huduma

Njia ya kawaida ni kutengeneza mtumiaji tofauti wa mfumo kwa kila huduma, ambaye anamiliki faili za huduma hiyo tu na hawezi kuingia (login). Akaunti ya mfumo kwa programu ya web inaweza kuonekana hivi:

sudo useradd --system --no-create-home --shell /usr/sbin/nologin appsvc

Kila flag ni muhimu. --system huifanya kuwa akaunti ya huduma, si akaunti ya binadamu. --no-create-home huacha nyumbani (home directory) ambayo haihitaji. --shell /usr/sbin/nologin inamaanisha kuwa hata kama mshambuliaji ataipata akaunti hiyo, hawezi kufungua shell nayo. Akaunti hiyo ipo tu ili kumiliki mchakato (process) na faili zake.

Kisha mpe mtumiaji huyo faili anazohitaji tu, na si zaidi:

sudo chown -R appsvc:appsvc /opt/myapp

Sasa huduma inasoma na kuandika kwenye dirisha lake (directory) lenyewe na haina uhusiano na sehemu nyingine yoyote kwenye diski. Ikiwa itashambuliwa, faili ambazo mshambuliaji anaweza kubadilisha zitakuwa zimekomwa kwenye /opt/myapp; akaunti hiyo bado inaweza kusoma chochote ambacho kiko wazi kwa kila mtu (world-readable), lakini haiwezi kubadilisha sehemu nyingine ya mfumo.

Acha systemd iendeshe kama mtumiaji huyo

Baada ya akaunti kuwepo, iambie systemd iendeshe huduma hiyo kama mtumiaji huyo. Kwenye unit file, mstari mmoja unafanya hivyo:

[Service]
ExecStart=/opt/myapp/bin/server
User=appsvc
Group=appsvc

User=appsvc inamaanisha mchakato unaanza na mamlaka madogo ya akaunti hiyo badala ya mamlaka ya root. Hii ndiyo njia ya kawaida na iliyothibitishwa ya kuendesha programu chini ya systemd, na inafaa kufanywa kwa kila huduma unayotengeneza unit yake.

Au ruka akaunti kabisa kwa kutumia DynamicUser

systemd inaweza kwenda hatua nyingine zaidi na kutengeneza mtumiaji wa muda kwa ajili yako, ambaye anakuwepo tu wakati huduma inapoendelea kuendeshwa. Weka DynamicUser=yes na hutasimamia akaunti yoyote:

[Service]
ExecStart=/opt/myapp/bin/server
DynamicUser=yes
StateDirectory=myapp

Wakati wa kuanza, systemd hutenga user ID ambayo haitumiki; wakati wa kusitisha, huitolea. Huduma pia hupata /tmp ya siri, ambayo ni mtazamo wa kusoma tu wa sehemu kubwa ya mfumo wa faili, na dirisha la hali (state directory) linaloweza kuandikwa chini ya /var/lib/myapp ambayo StateDirectory= huandaa na kuikabidhi. Kwa huduma inayojitegemea ambayo inahitaji dirisha lake la hali tu, DynamicUser=yes ndiyo njia rahisi zaidi ya kupata ulinzi mkali, kwa sababu hakuna akaunti ya muda mrefu ambayo mshambuliaji anaweza kuilenga.

Kuandika unit kwa mkono ni kazi ngumu, na kupata maelekezo sahihi ya ulinzi ndiyo sehemu muhimu zaidi. Generator kwenye mwongozo wa huduma na timer za systemd inaweza kukujazia chaguzi hizi ili unit iwe sahihi mara ya kwanza.

Jinsi hii inavyoingiliana na mengine

Mamlaka ya chini kabisa ni tabaka moja, na inafanya kazi pamoja na mengine badala ya kuchukua nafasi yake. firewall ya default-deny inadhibiti nini kinaweza kufika kwenye huduma; kuendesha kama mtumiaji asiye na mamlaka kudhibiti nini huduma inaweza kufanya ikiwa imevunjwa; na SSH iliyolindwa huwazuia washambuliaji kuingia kwenye mashine tangu mwanzo. Hakuna moja kati ya hizi inayotosha, na pamoja zinamaanisha kuwa hitilafu katika huduma moja haitakuwa uvunjaji wa usalama wa seva nzima.

Kabla ya kuendelea, pitia orodha ya ukaguzi wa ulinzi kwa mashine nzima na utengeneze nakala yako binafsi ya kufanyia kazi:

FAQ

Kwa nini nisianze kuendesha huduma kama root?

Kwa sababu root anaweza kufanya lolote kwenye mashine, huduma inayojiendesha kama root ikishambuliwa inampa mshambuliaji seva nzima, si huduma tu. Kuendesha huduma kama akaunti yenye ukomo, isiyo na mamlaka, huzuia uharibifu kwenye kile ambacho akaunti hiyo inaweza kufikia. Hifadhi root kwa ajili ya usimamizi, na uendeshe kila huduma inayojiendesha kwa muda mrefu kama mtumiaji aliye na ukomo.

Nitatengenezaje mtumiaji asiyeweza kuingia (login)?

Run sudo useradd --system --no-create-home --shell /usr/sbin/nologin NAME. Shell ya nologin inamaanisha kuwa akaunti hiyo haiwezi kufungua session ya mwingiliano hata kama siri zake zitauziwa, --system inaashiria kuwa ni akaunti ya huduma, na --no-create-home huacha dirisha la nyumbani ambalo haihitaji. Mpe umiliki wa faili zake tu kwa kutumia chown.

DynamicUser ya systemd ni nini?

DynamicUser=yes inaambia systemd kutengeneza mtumiaji wa muda kwa ajili ya huduma ambayo anakuwepo tu wakati inapoendelea kuendeshwa, hivyo hutasimamia akaunti ya muda mrefu. Pia inampa huduma /tmp ya siri, ambayo ni mtazamo wa mfumo wa faili unaosomwa zaidi, na dirisha la hali linalodhibitiwa. Ni njia rahisi zaidi ya kuendesha huduma inayojitegemea chini ya utambulisho wa muda, wenye mamlaka madogo.

Je, kuendesha kama mtumiaji asiye root inachukua nafasi ya firewall?

Hapana. Zinalinda vitu tofauti. Kuendesha kama mtumiaji asiye na mamlaka kunaweka mipaka kwenye kile huduma inaweza kufanya ikiwa imevunjwa, wakati firewall inazuia kile kinachoweza kufika kwenye huduma hiyo kabisa. Tumia zote mbili, pamoja na SSH iliyolindwa, ili kila tabaka lijihusishe na kile ambacho kingine hakiwezi kufanya.

Ni faili gani zinapaswa kumilikiwa na mtumiaji wa huduma?

Faili ambazo huduma inazihitaji tu, na si zaidi. Mpe akaunti umiliki wa dirisha lake la kazi na data yake, na acha kila kitu kingine kikiwa kimemilikiwa na root. Mpangilio mzuri ni sudo chown -R svc-app:svc-app /opt/svc-app kwa ajili ya dirisha la programu, wakati mipangilio chini ya /etc inabaki imemilikiwa na root na inaweza kusomwa tu na huduma. Lengo ni kwamba ikiwa mchakato utavunjwa, faili ambazo unaweza kubadilisha zitakuwa zimekomwa kwenye data yake mwenyewe, si sehemu nyingine ya mfumo.