Sudo e permissões de arquivo

Question

Estou configurando o sudo em um servidor e tenho a seguinte pergunta. Eu só quero um grupo de usuários para executar o /sbin/ifconfig . Eu configurei o sudo:

User_Alias ​​NETWORK = user1 
Cmnd_Alias ​​NETWORKING = /sbin/ifconfig 
Host_Alias ​​MYHOSTS = localhost 

regra:

NETWORK MYHOSTS = (root) NETWORKING 

Funciona bem para o usuário user1 : sudo ifconfig pergunta a senha. Mas, vejo que qualquer usuário de computador pode executar o ifconfig também porque as permissões nesse arquivo em /sbin são 755. Está correto? Devo também alterar as permissões de arquivo?

    

Answer 1

Do sudo manpage:

sudo allows a permitted user to execute a command as the superuser or another user, as specified by the security policy.

Isso não afeta as permissões regulares (sistema de arquivos). Então, se um executável tiver permissões 755 ( -rwxr-xr-x ) cada usuário no sistema pode executá-lo. Mas - dependendo do executável - para algumas operações você obtém um erro de permissão negada:

$ ls -l /sbin/ifconfig
-rwxr-xr-x 1 root root 67912 May 11  2013 /sbin/ifconfig
$ whoami
user
$ /sbin/ifconfig
eth0      Link encap:Ethernet  HWaddr 00:00:00:00:00:00  
          inet addr:192.168.1.1  Bcast:192.168.1.255  Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:29886 errors:0 dropped:0 overruns:0 frame:0
          TX packets:17383 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:3706932 (3.5 MiB)  TX bytes:34965406 (33.3 MiB)
$ /sbin/ifconfig eth0 down
SIOCSIFFLAGS: Operation not permitted
$ sudo /sbin/ifconfig eth0 down
[sudo] password for user:
 - no error -
$ 

Observe que alterar as permissões de /sbin/ifconfig para 700 ( -rwx----- ) impedirá que usuários normais o executem, mas pode haver outras formas de obter as informações. Por exemplo. o endereço IP via ip address ou o sistema de arquivos /proc .