setuid/setgidについて

Question

setuid/setgidについて、なぜ必要なのかうまく説明ができないため。

setuid属性を持つプログラムに、passwdコマンドなどありますが、パスワードを設定しているファイルの権限を一般ユーザでも編集できるように設定するのとセキュリティ面から見てどう違うのか。

なぜ必要なのかの回答を求めます。

Answer 1

もしパスワードファイル自体が誰でもアクセス可能であれば、第三者のパスワードも変更・改変可能となってしまいます。ということで、パスワードの入ったファイル自体はrootだけがアクセス可能なようにしておいて、setuidをかけた実行ファイルでそのユーザーに可能なことだけを実行できるようにしています。

また、pingを打つにはICMPパケットを送信する必要があるのですが、そのような低レベルのソケット操作は所定の権限がないとできないタスクですので、setuidでrootにするか、ソケットまわりの権限を与えています（ファイルに対応しない権限ですので、「指定先のファイルパーミッションを変えて対応する」という方法は取れません）。

Answer 2

例に挙げたpasswdコマンドですが、ご存知の通り/etc/passwdを編集します。

/etc/passwdはデフォルトではrootユーザにしか書き込み権限がありませんが、一般ユーザでも編集できてしまうと、一般ユーザでもroot権限を奪取できたり、無効にできてしまいます。
当然これではユーザ管理の意味がありません。セキュリティも何もない状態です。

ただ一方、一般ユーザが自分のアカウントに関する部分だけ/etc/passwdを書き換える必要は生じます。
これができないと自分で自分のパスワードを変更することもできなくなってしまいます。

passwdコマンドを使って/etc/passwdを編集すると冒頭言いましたが、passwdコマンドにsetuidが設定されていない場合、passwdプロセスはそれを起動した一般ユーザの権限になってしまいます。
passwdコマンド自体は誰に対しても実行権限は付与されていますが、/etc/passwdファイルはrootユーザ以外は編集ができません。
ですので、setuidがない状態でpasswdコマンドを実行しても/etc/passwdファイルは編集できません。

setuidを設定すると、起動されたプロセスは「プロセスを起動したユーザの権限」ではなく、「そのプログラムファイルの所有者の権限」で起動します。
passwdコマンド(プログラム)ファイルの所有者はrootなので、一般ユーザが起動したとしてもそのプロセスはroot権限となり、/etc/passwdファイルが編集できると言うわけです。

Comments

[maisumakun]

回答の本質に影響はしませんが、パスワードハッシュ自体を読まれるのも防ぐために、/etc/passwdに直接書くのではなく、root以外読み取り権限もない/etc/shadowなど別ファイルに書くシステムも多いです。

[ynakano]

ご指摘ありがとうございます。
/etc/shadowについて触れようか迷ったのですが、このファイルのパーミッションが"000"ということもあり、話を単純化するために触れずにおいた次第です。

Answer 3

パーミッションとして考えてみます。
当然スーパーユーザーは全ての管理権限を有さないとマシン全体の管理ができません。
質問ではユーザーとグループの権限の考え方だと推測しての回答です。
質問の中'passwd'はユーザー権限ですとそのユーザーだけでしか変更はできません。
つまり制限はUserの範囲だけです。
グループとユーザーの権限はグループに登録されていれば、そのグループのパーミッションに従ってのアクセスが出来る。
これらを分かりやすくするには集合の図を書いて、スーパーユーザー（管理者）、グループ、ユーザーと分けると、きれいに範囲が分かるようになります。
参考までに、Linuxの権限にかんしてのページがあったので、
ユーザ権限とアクセス制御

Comments

[raccy]

すいませんが、この回答のどこがsetuid/stegidに結びつくのでしょうか？私には単にUNIX/Linuxでのアクセス権やユーザー・グループ管理の話をしているにしか見えません。