/tmp non-exec setzen

[rhHeini]

Ich bin per Zufall auf einen 12 jahre alten Post auf http://www.debian-administration.org gestossen:

https://www.debian-administration.org/a ... executable

Ein Problem habe ich denke ich gelöst: der Artikel schlägt vor die /etc/apt/apt.conf zu ergänzen damit apt-get läuft. Das muss bei aktuellen Distributionen nach /etc/apt/apt.conf.d/70debconf verlegt werden.

Im Prinzip finde ich Vorschläge wie man die Hürden etwas erhöhen kann als sinnvoll, und würde gerne ein paar Meinungen zu dem Thema hören. Macht das Sinn? Hat da jemand ausprobiert, funktioniert das? Nebenwirkungen?

Mfg rh

[whisper]

Ich habe es auch mal gemacht.
http://zockertown.de/s9y/index.php?/arc ... unten.html

Mittlerweile aber nicht mehr.
Wichtiger ist eine regelmäßige Kontrolle mit maldet. (IMHO)

[catdog2]

Gegen was soll es denn konkret schützen? wenn man das weiss, dann kann man evtl. Zielführendere Maßnahmen ergreifen.

[Saxman]

Ja, ich mach das, seit Jahren, nicht nur mit /tmp

Code: Alles auswählen

# mount |grep noexec |wc -l
26

Wie du schon erkannt hast, funktioniert dann apt nicht mehr. Dafür hab ich:

Code: Alles auswählen

# cat /etc/apt/apt.conf
[...]
DPkg
{
     Pre-Invoke { "/bin/echo preparing for software installation...; /bin/mount -w /usr -oremount ; /bin/mount -w /boot -oremount ; /bin/mount -o exec /tmp -oremount ; /bin/mount -o exec /tmpdir -oremount ; /bin/mount -o exec /var -oremount ;" };
     Post-Invoke { "/bin/echo finishing software installation...;/bin/sync ; /bin/mount /usr -oremount ; /bin/mount /boot -oremount ; /bin/mount /tmp -oremount ; /bin/mount /tmpdir -oremount ; /bin/mount /var -oremount ; /bin/sync" };
};

Daneben noch ein wenig ro und nosuid paranoia. Exemplarisch ein Ausschnitt aus der fstab:

Code: Alles auswählen

UUID=85823c19-2042-49b1-a07d-a1458dd37641 /boot           ext2    ro,noatime,nodiratime,nodev         0       2
/dev/mapper/samsung--ssd-var /var             ext4    noatime,nodiratime,discard,nosuid,nodev,noexec,commit=300,data=writeback         0       2
/dev/mapper/samsung--ssd-usr /usr             ext4    ro,noatime,nodiratime,discard,nodev,commit=300,data=writeback         0       2
tmpfs           /tmp                                    tmpfs   noatime,nodiratime,nosuid,noexec,nodev,size=512m        0       0
tmpfs           /tmpdir                                 tmpfs   noatime,nodiratime,nosuid,noexec,nodev,mode=755,size=512m       0       0

Das ist aber nur ein kleiner Ausschnitt der fstab und auf meinen Rechner zugeschnitten. Nicht einfach übernehmen.

[dufty2]

Code: Alles auswählen

# mount |grep noexec |wc -l
26

Mmmh, alleine diese "/sys/fs/cgroup" machen bei mir schon um die 10 noexecs aus
und tmpfs des users 1000 ist mittlerweile auch schon nosuid per default,
nur so zum Bleistift ...