[debian] /tmp folders beveiligen?

[tiezeman]

Hallo,

Op een van mijn systemen bevinden de /tmp en /var/tmp zich niet op een aparte partitie, maar op dezelfde, enige, partitie als de rest van het bestandssysteem.

Als gevolg hiervan kan ik /tmp en /var/tmp niet mounten als nosuid noexec, wat ik zou willen, omdat ze nu vatbaar zijn voor hacks.

Het beste zou zijn om het systeem opnieuw te installeren en de partities goed in te delen, maar dat is voor mij nu geen mogelijkheid. Daarom vraag ik me af of er een andere manier is om de tmp-folder te beschermen, zodat de apache user (www-data) er geen bestanden in kan plaatsen.

Als ik de /tmp folder chmod met minder dan 0777 dan heeft dat gevolgen voor andere processen zoals bijvoorbeeld MySQL, wat dan niet meer werkt. Dat lijkt me dus ook geen optie?

Is er een mogelijkheid om /tmp op een bepaalde manier wel goed te beveiligen, of is er een - niet enorm ingewikkelde manier - om partities toe te voegen op een volledig gepartitioneerde schijf zodat ik /tmp kan mounten op die partitie?

Dank alvast.

[Snow_King]

Mount je /tmp in het tmpfs? (/dev/shm meen ik)

[tiezeman]

Ik begrijp niet helemaal wat je bedoelt.
In mijn /dev/shm/ staat in elk geval helemaal niets?

[H!GHGuY]

voor zover ik weet kan je andere dingen bovenop een directory mounten...

dus als je een andere directory zou kunnen mounten bovenop /tmp moet het wel lukken

[ralfbosz]

tiezeman schreef op zaterdag 11 februari 2006 @ 22:36:
Ik begrijp niet helemaal wat je bedoelt.
In mijn /dev/shm/ staat in elk geval helemaal niets?

/dev/shm is je geheugen. Je maakt van je /tmp dus een ramdisk.

Alleen doen als je genoeg geheugen hebt. Als je dat niet hebt maakt zo'n mountpount je systeem ENORM traag .

[Snow_King]

tiezeman schreef op zaterdag 11 februari 2006 @ 22:36:
Ik begrijp niet helemaal wat je bedoelt.
In mijn /dev/shm/ staat in elk geval helemaal niets?

/dev/shm is vaak een schijf in je virtuele geheugen, die is rond de 200MB, daar moet het mee lukken.

doe maar eens "df -h"

[tiezeman]

Bedankt allen.

Klinkt goed, maar ik heb nog nooit iets gemount in dat geheugen, dus voor de zekerheid; voldoet het als ik de onderstaande regel in fstab zet en reboot? Is ext3 te gebruiken in het geheugen?

/dev/shm /tmp ext3 nosuid, noexec 0 0

[Snow_King]

ext3 ff wijzigen in tmpfs

[Sendy]

En zoiets wijzig je eerst met commando's op de command line en als dat allemaal goed is dan zet je die instellingen in je /etc/fstab.

edit:
Ik heb trouwens mijn /dev op een tmpfs staan. Kan je zo'n /dev/shm wel twee keer mounten? Ja, dus. Grappig.

[edit]
Ah, nu er iets over gelezen te hebben is het me helemaal duidelijk. tmpfs is een filesystem, geen device (dit vervangt dus de "/dev/hda1" in "mount /dev/hda1 /"). Op mijn /dev en mijn /dev/shm is een tmpfs gemount. Die mount op /dev/shm is voor een POSIX functie (POSIX shared memory), dit heeft dus eigenlijk niets met het tmpfs te maken. Een tmpfs wordt gecreerd als het fs gemount wordt (er wordt dus niets dubbel gemount). De maximale grootte wordt gepaald door de size optie van mount.

En dat laatste lijkt me nog een handige optie voor de TS: ik wil weleens zien wat de machine gaat doen als de TS (misschien per ongeluk) een xvid download in de /tmp directory. Je weet dat ieder proces in /tmp mag schrijven?

[ Voor 103% gewijzigd door Sendy op 12-02-2006 22:20 ]

[tiezeman]

Bedankt allemaal,
/tmp en /var/tmp zijn nu gemount in het geheugen nosuid en noexec, dat lijkt te doen wat ik wil.

@Sendy; blijkbaar wel dan?

[ Voor 12% gewijzigd door tiezeman op 11-02-2006 23:08 ]

[kenneth]

Aanvulling: tmp is meestal mode 1777 en niet 0777
Die 1 staat voor sticky bit, waardoor de bestanden alleen door de maker (en root) verwijderd kunnen worden.