別のルートユーザーからホームディレクトリへのアクセスを防ぐにはどうすればよいですか？

この質問はGoogleとのインタビューの中で尋ねられたもので、答えが見つかりません。

私はあなたのホームディレクトリを暗号化することを考えていますが、誰かが以前にそれをやったことがあるなら、あなたが知識を共有できれば幸いです。

linux acl

— エベレスト
ソース

これは完全な答えではなく、1つのアプローチへのポインタにすぎません。1.暗号化されたパーティションを作成します。2.ホームディレクトリの内容をそのパーティションにコピーします。あなたのホームディレクトリ上。このスクリプトは、ログイン中にパスワードの入力を求めます。ログインしている間、rootユーザーは引き続き暗号化されたデータにアクセスできますが、ログアウト時にマウント解除する限り、残りの時間は問題ありません。

— ステーブルドッグ14年

ポインターをありがとう@Stabledog。しかし、インタビュアーが望んでいるのは、ユーザーが私のホームディレクトリにもアクセスできないようにする必要がある他の特権です。SELinuxの程度ピーターの答えのように思えるが、このシナリオのためのより適切である

— エベレスト

わかった。少なくとも完全に熟練したrootユーザーがそれを迂回することを決めたときは、SElinuxのアプローチが機能するとは思わない。（たとえば）カーネルをスワップアウトしたり、カーネルモジュールをアンロードしたりするなど、rootが実行できる必要がある基本的なことからrootをロックアウトする必要があります。シェルアクセスを使用してログインし、特権を持ち、熟練したユーザーがこのような課題に対してスキームを強化しようとすることは非常に困難です。

— ステーブルドッグ14年

回答:

AFAIK SELinuxを使用すると、rootユーザーを含む各ユーザーがマシン上で行うことを完全に制御でき、このアクセス制御ポリシーを変更するためのrootユーザーの権限を削除してジョブを実行できます。

— ピーター
ソース

ワオ。私は実際にこれが質問の正解だと思います。

— VL-80

ピーターに感謝します。別のSELinuxの第一人者がそうでないと言わない限り、これはインタビュアーが探していた答えだと思います。以前考えたことを望みます。まあ、私は何を言うことができます。就職活動とは、一連の「いいえ」の後に「はい」が続く旅です。:)

— エベレスト14年

@everest yes、フリーランスはあなたが時間通りにいられるようになった場所です;）

— ピーター14年

rootユーザーが望んでいる方法でSElinuxポリシーを強打するのを防ぐ方法はないと思います。そのためには、rootが必要とする通常のツールを使用せずにSElinuxを完全に管理できるように、SElinuxの役割とLinuxユーザーの間に不浸透性の分離が必要です。可能だとは思いませんが、SElinuxは非常に複雑なので、言うには専門家である必要があります。私は、OPがこれに適したSElinuxスキルセットにまだ達していないと確信しています。

— ステーブルドッグ14年

実際問題として、アカウントから他のルートユーザーを効果的にロックアウトするような厳しいSElinuxポリシーでマシンを動作させるよりも、他のユーザーのルートログインを削除する方がはるかに簡単だと思います。

— ステーブルドッグ14年

あなたが言及したように、暗号化されていないドライブを物理的に取り外して別のコンピューターのルートとしてアクセスすることを誰かが妨げることはないため、ファイルへのアクセスを制限する唯一の確実な方法は暗号化であると思います。

— ロベルト・ゴメス
ソース

実行時復号化がどのように行われるかについてのアイデアはありますか？ホームディレクトリを暗号化する場合は、ログインするたびにホームディレクトリを復号化（およびマウント）し、ログオフ（またはリモート接続の場合はSSHセッションから切断）するときにアンマウントして暗号化する必要があります。それに加えて、root はログイン中にホームディレクトリにアクセスできるようになります。どうやってそれを回避しますか？

— VL-80 14年

さて、ルートがマウントされて暗号化されていないときにデータにアクセスできることについてのあなたの懸念がわかりました。そのため、暗号化はルートアクセス（または不正な管理者）を取得する攻撃者から保護されないため、できることはあまりありません。ルート権限を持たないシステムにアクセスしている場合、重要な個人ファイルをシステムに保存することはお勧めできません。アーチLinuxのウィキがこのテーマに関する素晴らしい記事を持っています。

— ロベルトゴメス14年

右。私たちはここでも可能話し合う何かどうかはわからない...

— VL-80