Por que o ssh-agent possui o SGID configurado?

Question

No pacote openssh da Red Hat, notei que o executável ssh-agent tem o conjunto de permissões SGID:

$ ls -l /usr/bin/ssh-agent
-rwxr-sr-x 1 root nobody 113648 Nov 24  2010 /usr/bin/ssh-agent

Por que os desenvolvedores do openssh querem que ssh-agent seja executado com o grupo nobody ? Ou talvez eu esteja entendendo mal o que a SGID faz?

    

Answer 1

Bem, o meu é setgid para o grupo ssh . Eu estou supondo que você está em um sistema derivado de RedHat; eles adoram abusar do nobody user / group.

Um pouco do googling sugere que o setgid é para evitar uma vulnerabilidade de segurança em que o material da chave secreta é obtido ao rastrear o agente ( link ). Tornar o processo setgid-anything significa que rastrear por usuários não-root (ou pelo menos não- CAP_SYS_PTRACE ) é EPERMed.