Sudo ja su juurutamine Rustis on mõeldud nende utiliitide turvalisuse parandamiseks.
Kolm kuud tagasi jagasime siin blogis uudist projekti "Sudo-rs" loomisest ISRG poolt, mis on Let's Encrypt projekti asutaja ja edendab internetiturvalisust suurendavate tehnoloogiate arendamist.
Selles publikatsioonis jagasime projekti üksikasju ja omadusi , mille põhieesmärk on luua SUDO ja SU utiliitide implementatsioonid Rustis (publikatsiooniga saab tutvuda järgmisel lingil ).
Sudo-rs esimene stabiilne versioon
Selle mainimise põhjus on see, et hiljuti käivitati Sudo-rs projekti esimene stabiilne versioon , mille arenduses osalesid Ferrous Systemsi ja Tweede Golfi insenerid Google'i, Cisco ja Amazon Web Servicesi rahastusel.
Neile, kes pole "Sudo-rs" projektiga tuttavad, võin öelda, et selle eesmärk on arendada SUDO ja SU utiliitide Rust-versioone, mis on loodud käskude täitmiseks teiste kasutajate nimel, kuna SUDO on Unixi-laadsetes operatsioonisüsteemides konsooli utiliit käskude täitmiseks teise kasutaja, vaikimisi root superkasutaja õigustega.
Funktsioonid `sudo-rs`-is `sudo` ja `su` kirjutati nullist Rustis, keeles, mida tööstuses üha enam kasutatakse ja soovitatakse, kuna sellest on saanud üks Androidi peamisi keeli ja seda toetatakse isegi Linuxi kernelis sekundaarse programmeerimiskeelena. Microsoft on omalt poolt mitmel korral maininud kavatsust kernel ja mõned selles sisalduvad Windowsi teegid ümber kirjutada.
Mainitakse, et utiliidid ühilduvad võimaluse korral klassikaliste SUDO ja SU utiliitidega, võimaldades sudo-rs-i kasutada SUDO läbipaistva asendajana tüüpilistes stsenaariumides , mis vastavad Ubuntu ja Debiani vaikesätetele /etc/sudoers. Sudo-rs on juba rakendatud traditsioonilise SUDO paketi asemel Wolfi Linuxi distributsioonis eesmärgiga pakkuda kõrgeimat turvalisuse taset.
Rusti keele kasutamine SU ja SUDO arendamisel peaks vähendama ebaturvalisest mälukäsitlusest tingitud haavatavuste riski ja kõrvaldama vigu, näiteks mälupiirkonnale juurdepääsu pärast selle vabastamist ja mälu otsa saamist puhvri piiridel.
Lisaks on projekti raames sobiva turvataseme tagamiseks välja töötatud laiendatud testide komplekt , mis võimaldab jälgida ka nõutava ühilduvustaseme säilimist algse sudo utiliidiga. Rünnakupinna ja sudo-rs-ide võimalike haavatavuste vähendamiseks otsustati loobuda harva kasutatava sudo funktsionaalsuse rakendamisest.
Erinevuste hulgas SUDO-ga mainitakse vaikimisi use_pty režiimi olemasolu, põhimõtteliselt rakendamata funktsioonide hulgas on mail_badpass ja ühilduvus sendmailiga, samas kui veel rakendamata, kuid tulevikus lisatavad funktsioonid on sudoedit utiliit, NOEXEC ja NOINTERCEPT režiimid, tugi "vaikimisi" konfiguratsiooniplokkide sidumiseks üksikute kasutajate ja käskudega ning võimalus autentida ilma PAM-i kasutamata.
Väärib märkimist, et sel septembril saab eeldatavasti kinnitada juurutamise kvaliteeti ja plaanis on ka sõltumatu audit sudo-rs koodibaasi.
Lisaks mainitakse, et teise versiooniga plaanitakse lisada tööriistu mitme kasutajaga keskkondades töötamiseks , näiteks NOEXEC-režiim, auditilogid, sudoerite võimalus hoste kaardistada ja tugi kuni 16 kasutajarühmale. Kolmas versioon on plaanitud ühilduma Fedoras kasutatava sudoersi konfiguratsiooniga ning lisama ka sudoedit utiliidi ja kasutama SELinuxi ja AppArmori mehhanisme turvalisuse suurendamiseks.
Lõpuks , kui olete huvitatud selle kohta rohkem teada saamast , leiate üksikasjad järgmiselt lingilt.