Setuid

Einige Programme benötigen eng begrenzten Zugriff, den ihre Aufrufer gewöhnlich nicht besitzen. Bei einer ausführbaren regulären Datei kann das Set-User-ID-Bit bewirken, dass ein neuer Prozess die Benutzer-ID des Dateieigentümers als effektive Benutzer-ID erhält. Das Programm kann dann Vorgänge ausführen, die für diese Identität autorisiert sind, und zugleich Informationen über den Aufrufer behalten.

Setuid ist keine allgemeine Anweisung, ein Programm „als root auszuführen“. Seine Wirkung hängt vom Eigentümer der ausführbaren Datei, vom Betriebssystem, vom Dateisystem und seinen Einhängeoptionen sowie davon ab, wie das Programm seine Zugangsdaten verwaltet.

Das kleingeschriebene s an der Ausführungsposition des Eigentümers bedeutet, dass sowohl setuid als auch die Ausführungsberechtigung des Eigentümers gesetzt sind. Wenn setuid vorhanden ist, aber die Ausführungsberechtigung des Eigentümers fehlt, zeigt ls -l an dieser Stelle ein großgeschriebenes S an.

Gehe nicht davon aus, dass jede Distribution denselben Modus oder denselben Authentifizierungsaufbau besitzt. Prüfe das tatsächliche System, statt dich auf das Beispiel zu verlassen.

Dieser Mechanismus kann einem sorgfältig geschriebenen Programm ermöglichen, eine Anfrage zu validieren und eine begrenzte Änderung an geschützten Zuständen vorzunehmen. Ein lokales Werkzeug zur Passwortänderung kann beispielsweise kontrollierten Zugriff auf Authentifizierungsdaten benötigen, die gewöhnliche Benutzer nicht direkt bearbeiten dürfen. Moderne Implementierungen stützen sich außerdem auf PAM, Dateisperren, Richtlinien und weitere Schutzmaßnahmen; setuid allein erklärt nicht den gesamten Arbeitsablauf.

In oktaler Schreibweise trägt setuid 4 zu einer führenden Ziffer für besondere Bits bei:

$ sudo chmod 4755 myfile

Hier setzt die führende 4 setuid, während 755 die gewöhnlichen Bits für Eigentümer, Gruppe und andere festlegt. Entferne setuid mit chmod u-s myfile, ohne den restlichen Modus zu ändern.

Linux berücksichtigt setuid bei interpretierten Skripten gewöhnlich nicht, weil eine sichere Umsetzung Probleme mit Race Conditions und Interpretern mit sich bringt. Mit nosuid eingehängte Dateisysteme unterdrücken außerdem die Wirkung von setuid und setgid. Bevorzuge engere Mechanismen wie durch Dienste vermittelte Vorgänge, sorgfältig begrenzte sudo-Richtlinien oder Capabilities, wenn sie zur Anforderung passen.

Füge niemals einer beliebigen Shell, einem Interpreter oder einem kopierten Programm experimentell setuid auf einem gemeinsam genutzten System hinzu. Prüfe bestehende setuid-Dateien und übe ausschließlich in einer isolierten, entbehrlichen Umgebung.