https://morfikov.github.io/tags/dac_read_search/ Recent content in Dac_read_search on Morfitronik Hugo -- gohugo.io pl-PL Mon, 16 Sep 2019 18:20:15 +0000 Mikhail Morfikov https://morfikov.github.io/post/capability-dac_read_search-dac_override-w-profilu-apparmor/ Mon, 16 Sep 2019 18:20:15 +0000 https://morfikov.github.io/post/capability-dac_read_search-dac_override-w-profilu-apparmor/ <p>Od jakiegoś czasu tworzę dla aplikacji w moim Debianie <a href="https://gitlab.com/morfikov/debian-files/tree/master/configs/etc/apparmor.d">profile pod AppArmor</a>, tak by ograniczyć programom swobodny dostęp do plików czy urządzeń. Tych profili zebrało się już trochę i podczas pisania jednego z nich, zacząłem się zastanawiać czy wszystkie CAP'y (linux capabilities), których żądają procesy, są im faktycznie niezbędne do prawidłowego funkcjonowania. Chodzi póki co o <code>dac_read_search</code> i <code>dac_override</code> . Co ciekawe, odmowa <code>dac_override</code> w części aplikacji nie powodowała żadnych negatywnych konsekwencji. Idąc dalej tym tropem, postanowiłem z paru profili AA usunąć linijkę zawierającą <code>capability dac_override,</code> zostawiając tym samym jedynie <code>capability dac_read_search,</code> i zobaczyć co się stanie. Okazało się, że sporo programów już o <code>dac_override</code> nie prosi. Zatem co się zmieniło przez tych parę lat i czy ta zmiana dotyczy samych aplikacji, a może kernela linux'a?</p>