kB schrieb:
...Manche Vorgänge benötigen nun mal Rootrechte und würden sie dann nicht bekommen.
Also lautet die Antwort auf Deine Frage:
Nein im generellen, und sicher nein für die üblichen Arbeitsstationen, aber für einzelne System mit genau fest gelegten Aufgaben kann es sinnvoll sein.
Ich möchte deiner Argumentation teilweise widersprechen, denn
systemd.exec 🇬🇧
NoNewPrivileges=¶
Takes a boolean argument. If true, ensures that the service process and all its children can never gain new privileges through execve() (e.g. via setuid or setgid >bits, or filesystem capabilities). This is the simplest and most effective way to ensure that a process and its children can never elevate privileges again. Defaults >to false. In case the service will be run in a new mount namespace anyway and SELinux is disabled, all file systems are mounted with MS_NOSUID flag. Also see No New Privileges Flag.
Prozessen ist es also nicht möglich höhere Berechtigungen zu erlangen, als wie ihnen bei Ausführung gewährt wurden. Würde bedeuten, ein Schadprogramm hätte nie die Möglichkeit erhöhte Berechtigungen zu erlangen, auch nicht durch Keylogging, denn die Ausführungsumgebung läßt die Gewährung erhöhter Berechtigung nicht zu.
Eingestehen muss ich den imensen Komfortverlust auf einer Arbeitsstation, sudo ist nicht mehr anwendbar und alle durch den Benutzer ausgeführten Vorgänge, die erhöhte Berechtigungen erforden, können nur noch unter root durchgeführt werden.
Bearbeitet von kB:
Syntax für externe Links ergänzt.
