Re: Kann root eine Datei so schwer machen, dass er sie nicht mehr aufheben kann?
Michael Schuerig - 22.10.17, 01:30:
> On Samstag, 21. Oktober 2017 23:59:06 CEST Stefan Baur wrote:
> > Ich suche eine Möglichkeit, mit der ein Nicht-Root-Benutzer
> > sicherstellen kann, dass root ihm kein "Ei gelegt" hat.
> >
> > Konkret geht es darum, dass auf einem entfernten Host eine Datei mittels
> > GPG signiert werden soll, von einem Nicht-Root-Benutzer.
>
> [...]
>
> > Ich habe beim Googeln das hier gefunden:
> > <https://wiki.gnupg.org/AgentForwarding>, weiß aber nicht, ob mir das
> > hilft. Denn mir erschließt sich dabei nicht, ob das sich auch auf
> > Signieren und Verschlüsseln bezieht, oder nur auf die Möglichkeit,
> > gpg-agent als Ersatz für ssh-agent zu benutzen.
>
> Ich habe Agent Forwarding auch noch nicht benutzt, fand es aber spontan
> interessant. Mein Eindruck ist, dass es genau das macht, was du brauchst.
> Jedenfalls wenn es darum geht, dass ein interaktiver Benutzer eine Datei mit
> GPG signieren soll.
Ich würde zwar an sich auch diese Spur weiterverfolgen…
dennoch kann Root den Agent mitverwenden, solange das Agent Forwarding aktiv
ist. Das ist ja auch, warum ich SSH Agent Forwarding nur mit Bedacht einsetze
(z.B. auf System, wo nur ich anmeldet sein kann, solange keine(r) eingebrochen
ist).
Ich denke, das sicherste wäre es, die Datei an den Host mit dem GPG-Schlüssel
zu übertragen und dort zu signieren.
grsec hatte eine Möglichkeit, Root einzuschränken. Ansonsten könnten SELinux
oder eines der anderen Linux Security Modules (LSM) wie TOMOYO, SMACK oder was
auch immer eventuell weiterhelfen.
Ciao,
--
Martin
Reply to: