VP
set -x?
Мне пока в голову приходит только сделать враппер, который будет выглядеть кастомно и положить его, с именем sudo в /usr/local/bin
Size: a a a
2020 May 19
IS
Мне пока в голову приходит только сделать враппер, который будет выглядеть кастомно и положить его, с именем sudo в /usr/local/bin
А он перебьёт алиас?
VP
А он перебьёт алиас?
Нет, но если что-то пойдёт не так, то алиас будет выглядеть по другому, нежели запуск враппера...
tf
Против любого -x есть +x
ну так ты его сразу увидишь
tf
wasd@wasds-MacBook-Pro [17:04:24] [~]
-> % set -x; set +x
+-zsh:4> set +x
wasd@wasds-MacBook-Pro [18:26:04] [~]
-> %
S
wasd@wasds-MacBook-Pro [17:04:24] [~]
-> % set -x; set +x
+-zsh:4> set +x
wasd@wasds-MacBook-Pro [18:26:04] [~]
-> %
VP
ну так ты его сразу увидишь
А если он в .bashrc / .zshrc пропишется? Не увижу... Похоже прозрачным и стопроцентно надёжным способом от кражи пароля не защититься....
VP
Кстати... which sudo показывает алиас....
tf
А если он в .bashrc / .zshrc пропишется? Не увижу... Похоже прозрачным и стопроцентно надёжным способом от кражи пароля не защититься....
set -x; sudo …tf
А если
which это алиас на which + добавление алиаса для sudo? 😉VP
А если
which это алиас на which + добавление алиаса для sudo? 😉Тоже жопа какая-то, да...
tf
Тоже жопа какая-то, да...
Я думаю, самое простое решение заключается примерно в следующем:
Надо чтобы загрузчик подписанный твоим ключом грузил твоё подписанное ядро, которое проверяет подпись всех запускаемых бинарников, включая bash/zsh и sudo.
В свою очередь, нужна модифицированная версия bash, которая будет запрещать сорсинг/исполнение скриптов без соответствующей подписи.
Надо чтобы загрузчик подписанный твоим ключом грузил твоё подписанное ядро, которое проверяет подпись всех запускаемых бинарников, включая bash/zsh и sudo.
В свою очередь, нужна модифицированная версия bash, которая будет запрещать сорсинг/исполнение скриптов без соответствующей подписи.
tf
Что удивительно, это дефолтное поведение шиндошс
VP
Похоже единственный вариант — запускать сабшелл с пустым конфигом.
tf
В принципе, можно обойтись без подписанного загрузчика, если паранойя не слишком мучает
tf
Ну и хранилище выставить read-only хардварными методами
tf
Хотя это необязательно, если подписывать на отдельной эиргепнутой машине
tf
Но тогда лучше таки подписать загрузчик…
VP
Я думаю, самое простое решение заключается примерно в следующем:
Надо чтобы загрузчик подписанный твоим ключом грузил твоё подписанное ядро, которое проверяет подпись всех запускаемых бинарников, включая bash/zsh и sudo.
В свою очередь, нужна модифицированная версия bash, которая будет запрещать сорсинг/исполнение скриптов без соответствующей подписи.
Надо чтобы загрузчик подписанный твоим ключом грузил твоё подписанное ядро, которое проверяет подпись всех запускаемых бинарников, включая bash/zsh и sudo.
В свою очередь, нужна модифицированная версия bash, которая будет запрещать сорсинг/исполнение скриптов без соответствующей подписи.
Как вариант проверять SHA256 конфига шелла... Кстати... дядя оксид ступил.... Права на запись отдать руту, а юзеру права только на чтение.
tf
> sha256
можно трикнуть/подсунуть другой sha256
> Права на запись отдать руту, а юзеру права только на чтение
полумеры какие-то!
можно трикнуть/подсунуть другой sha256
> Права на запись отдать руту, а юзеру права только на чтение
полумеры какие-то!