Secure ProcFS Entries/fr
From Linux-VServer
Depuis les versions stable 1.23 et développement 1.3.5, vous pouvez protéger les entrées du système de fichier /proc, de manière à ce qu'elles ne soient pas visibles dans tous les contextes. Le système est constitué de trois drapeaux: admin, watch et hide (caché). Pour les activer ou les consulter, vous devez utiliser une version récente du paquet util-vserver, qui contient setattr et showattr. (Un autre outil existe, vproc, mais ne sera pas détaillé ici). La logique derrière ces drapeaux a été modifiée dans la release expérimentale 0.09, et les nouvelles releases stable et devel utilisent aussi cette logique. Nous ne parlerons pas de l'ancienne logique.
Note: Pour faire allusion aux drapeaux, j'utiliserai la syntaxe de l'outil showattr du paquet util-vserver, ou a est mis pour admin, w pour watch et h pour hide (caché). De plus, une minuscule signifie désactivé alors qu'une majuscule signifie activé.
Contents |
Flag logic (Linux-VServer 2.4 branch > 1.3.7 / 2.6 branch > 0.08)
Les drapeaThe flags have the following meanings:
| Drapeau | Signification |
|---|---|
| admin | toujours visible dans le contexte 0 |
| watch | toujours visible dans le contexte 1 |
| hide | caché |
La correspondance entre drapeaux et visibilité est donnée par la table suivante:
| Drapeau | Signification |
|---|---|
| * * h | Visible partout (les drapeaux admin et watch n'ont pas d'effet) |
| A w H | Visible seulement dans le contexte 0 |
| a W H | Visible seulement dans le contexte 1 |
| A W H | Visible dans les contextes 0 et 1 |
| a w H | Totalement invisible (irreversible sans reboot!) |
Drapeaux par Default
Les drapeaux sont mis par défaut à:
- toutes les entrées de /proc sont visibles partout (branche stable)
- toutes les entrées de /proc sont visibles seulement dans le contexte 0 (branches devel et expérimentale)
Activation des drapeaux
Pour activer ces drapeaux vous devez utiliser l'outil setattr (à partir de util-vserver >= 0.30.193), dont l'usage est assez clair d'après l'aide en ligne de commande. Pour faire en sorte que l'entrée /proc/loadavg soit visible partout, désactivez par exemple le drapeau hide (caché):
setattr --~hide /proc/loadavg
Peu importe la position des drapeaux admin et watch, puisque hide n'est controlé que par le drapeau hide. Pour éviter aux vservers d'avoir accès aux informations à propos des interruptions, vous devez cacher l'entrée /proc/interrupts. Si vous voulez pouvoir y accéder depuis le context admin uniquement (contexte 0), utilisez simplement:
setattr --hide --admin --~watch /proc/interrupts
vprocunhide
Les outils alpha util-vserver sont livrés avec un outil appelé vprocunhide qui attribue des drapeaux raisonnables pour un certain nombre d'entrées proc, dont on a généralement besoin. Un script d'init est aussi fourni, situé en principe dans /usr/local/etc/init.d/vprocunhide, et que vous pouvez include dans votre séquence de démarrage.
