Linux kernel kontrollib tegevusi - Redigeerimiste ajalugu

Imre: /* Tööpõhimõte */

2026-05-04T00:04:40Z

Tööpõhimõte

←Vanem redaktsioon		Redaktsioon: 4. mai 2026, kell 03:04
47. rida:		47. rida:
	* systemd - tegeleb seccomp ja capabilities rakendamisega		* systemd - tegeleb seccomp ja capabilities rakendamisega
	* apparmor - tegeleb lsm rakendamisega		* apparmor - tegeleb lsm rakendamisega
		+	* tundub, et reaalsuses see olukord ei ole väga sirgejooneline - nt apparmor sätib samuti capabilitisid (rakendub nö kõige suurem kitsendus)

	===gemini joonis===		===gemini joonis===

Imre: /* Tööpõhimõte */

2026-05-04T00:03:03Z

Tööpõhimõte

←Vanem redaktsioon		Redaktsioon: 4. mai 2026, kell 03:03
28. rida:		28. rida:

	* kui tavakasutaja tegeleb omale kuuluva tekstifaili sisu muutmisega, siis ta esmalt sooritab open() syscalli ja seda üldiselt lubatakse kõigil kasutajatel teha, seejuures saab süsteem teada, kas kasutajal on lubatud kõnealuse failiga tegeleda ja mil viisil jne; ja edasi kasutaja ütleb read() syscall'i: read() iseenesest vajab tugevaid lube töötamiseks, aga süsteem tuletab loa protsessi omaniku/grupi kõrvutamisest faili omaniku/grupi ja loabittidega - näiliselt tundub, et read(), write() jt selliste syscallide kasutamine toimub väga liberaalselt		* kui tavakasutaja tegeleb omale kuuluva tekstifaili sisu muutmisega, siis ta esmalt sooritab open() syscalli ja seda üldiselt lubatakse kõigil kasutajatel teha, seejuures saab süsteem teada, kas kasutajal on lubatud kõnealuse failiga tegeleda ja mil viisil jne; ja edasi kasutaja ütleb read() syscall'i: read() iseenesest vajab tugevaid lube töötamiseks, aga süsteem tuletab loa protsessi omaniku/grupi kõrvutamisest faili omaniku/grupi ja loabittidega - näiliselt tundub, et read(), write() jt selliste syscallide kasutamine toimub väga liberaalselt
−	* kui kasutaja root käivitab tekstireadaktori asub tegelema tekstifaili sisu muutmisega, siis toimub sarnane kontroll kuid see annab väga jaatava vastuse kuna kasutaja on root (uid=0) - kernelil on kasutada loogika, et kui kasutaja on root siis see on samaväärne kõigi capacitite olemasoluga	+	* kui kasutaja root käivitab tekstireadaktori asub tegelema tekstifaili sisu muutmisega, siis toimub sarnane kontroll kuid see annab väga jaatava vastuse kuna kasutaja on root (uid=0) - kernelil on kasutada loogika, et kui kasutaja on root, siis see on samaväärne kõigi capacitite olemasoluga

	Joonis		Joonis

Imre: /* Tööpõhimõte */

2026-05-04T00:02:29Z

Tööpõhimõte

←Vanem redaktsioon		Redaktsioon: 4. mai 2026, kell 03:02
27. rida:		27. rida:
	Väited syscall kasutamise kohta		Väited syscall kasutamise kohta

−	* kui tavakasutaja tegeleb omale kuuluva tekstifaili sisu muutmisega, siis ta esmalt sooritab open() syscalli ja seda üldiselt lubatakse kõigil kasutajatel teha, seejuures saab süsteem teada, kas kasutajal on lubatud kõnealuse failiga tegeleda ja mil viisil jne; ja edasi kasutaja ütleb read() syscall'i: read() iseenesest vajab tugevaid lube töötamiseks, aga süsteem tuletab loa protsessi omaniku/grupi kõrvutamisest faili omaniku/grupi ja loabittidega - näiliselt tundub, et read(), write() jt selliste syscallide kasutamine toimub väga liberaalselt ~~(käigult konstrueeritakse efektiivselt sobivad capacitid)~~	+	* kui tavakasutaja tegeleb omale kuuluva tekstifaili sisu muutmisega, siis ta esmalt sooritab open() syscalli ja seda üldiselt lubatakse kõigil kasutajatel teha, seejuures saab süsteem teada, kas kasutajal on lubatud kõnealuse failiga tegeleda ja mil viisil jne; ja edasi kasutaja ütleb read() syscall'i: read() iseenesest vajab tugevaid lube töötamiseks, aga süsteem tuletab loa protsessi omaniku/grupi kõrvutamisest faili omaniku/grupi ja loabittidega - näiliselt tundub, et read(), write() jt selliste syscallide kasutamine toimub väga liberaalselt
	* kui kasutaja root käivitab tekstireadaktori asub tegelema tekstifaili sisu muutmisega, siis toimub sarnane kontroll kuid see annab väga jaatava vastuse kuna kasutaja on root (uid=0) - kernelil on kasutada loogika, et kui kasutaja on root siis see on samaväärne kõigi capacitite olemasoluga		* kui kasutaja root käivitab tekstireadaktori asub tegelema tekstifaili sisu muutmisega, siis toimub sarnane kontroll kuid see annab väga jaatava vastuse kuna kasutaja on root (uid=0) - kernelil on kasutada loogika, et kui kasutaja on root siis see on samaväärne kõigi capacitite olemasoluga

Imre: /* seccomp */

2026-05-03T23:21:49Z

seccomp

←Vanem redaktsioon		Redaktsioon: 4. mai 2026, kell 02:21
186. rida:		186. rida:

	====Misc====		====Misc====
		+
		+	seccomp leiab kõneks olevad syscallid üles nn bpf-classic filtrite abil, antud juhul 23 tükki (neid ei esita bpftool prog show)
		+
		+	<pre>
		+	root@pve-svc-02:~# cat /proc/1436092/status \| grep Seccomp
		+	Seccomp: 2
		+	Seccomp_filters: 23
		+	</pre>

	<pre>		<pre>

Imre – 3. mai 2026, kell 23:19

2026-05-03T23:19:52Z

←Vanem redaktsioon		Redaktsioon: 4. mai 2026, kell 02:19
17. rida:		17. rida:
	* privileegid (st õigus midagi teha, midagi kasutada) pole mitte niivõrd kasutajal, aga privileegid on protsessil		* privileegid (st õigus midagi teha, midagi kasutada) pole mitte niivõrd kasutajal, aga privileegid on protsessil
	* protsessi privileegid tulenevad muu hulgast kolmest asjaolust: 1. seccomp syscall tulemüür, 2. capabilities, 3. lsm		* protsessi privileegid tulenevad muu hulgast kolmest asjaolust: 1. seccomp syscall tulemüür, 2. capabilities, 3. lsm
		+	* capability'le vastab komplekt syscallisid (tavaliselt)
	* system call (syscall, 'make system call') - xxx		* system call (syscall, 'make system call') - xxx

Imre: /* Tööpõhimõte */

2026-05-03T22:52:01Z

Tööpõhimõte

←Vanem redaktsioon		Redaktsioon: 4. mai 2026, kell 01:52
23. rida:		23. rida:
	* Automatic Syscalls: Actions like mmap(), read(), or brk() are considered "safe." The kernel assumes that if you have the memory or the file handle, you can perform these actions. No special "permission" is needed beyond standard file permissions.		* Automatic Syscalls: Actions like mmap(), read(), or brk() are considered "safe." The kernel assumes that if you have the memory or the file handle, you can perform these actions. No special "permission" is needed beyond standard file permissions.
	* Restricted Syscalls: Actions like clock_adjtime(), reboot(), or mount() are "dangerous." Historically, the kernel had a simple rule: if (uid == 0) (Root), allow; else, deny.		* Restricted Syscalls: Actions like clock_adjtime(), reboot(), or mount() are "dangerous." Historically, the kernel had a simple rule: if (uid == 0) (Root), allow; else, deny.
		+
		+	Väited syscall kasutamise kohta
		+
		+	* kui tavakasutaja tegeleb omale kuuluva tekstifaili sisu muutmisega, siis ta esmalt sooritab open() syscalli ja seda üldiselt lubatakse kõigil kasutajatel teha, seejuures saab süsteem teada, kas kasutajal on lubatud kõnealuse failiga tegeleda ja mil viisil jne; ja edasi kasutaja ütleb read() syscall'i: read() iseenesest vajab tugevaid lube töötamiseks, aga süsteem tuletab loa protsessi omaniku/grupi kõrvutamisest faili omaniku/grupi ja loabittidega - näiliselt tundub, et read(), write() jt selliste syscallide kasutamine toimub väga liberaalselt (käigult konstrueeritakse efektiivselt sobivad capacitid)
		+	* kui kasutaja root käivitab tekstireadaktori asub tegelema tekstifaili sisu muutmisega, siis toimub sarnane kontroll kuid see annab väga jaatava vastuse kuna kasutaja on root (uid=0) - kernelil on kasutada loogika, et kui kasutaja on root siis see on samaväärne kõigi capacitite olemasoluga

	Joonis		Joonis

Imre: /* Kasulikud lisamaterjalid */

2026-05-03T22:45:28Z

Kasulikud lisamaterjalid

@@ 172. rida: / 172. rida: @@
 CapAmb:	0000000000000001
 </pre>
 ===Kasulikud lisamaterjalid===

Imre: /* Capabilities - 2026 kevad märkmed */

2026-05-03T22:44:47Z

Capabilities - 2026 kevad märkmed

@@ 69. rida: / 69. rida: @@
   [ RESOURCE ] (e.g., /dev/sda, System Clock, Network Socket)
 </pre>
 ===Capabilities - 2026 kevad märkmed===
@@ 140. rida: / 172. rida: @@
 CapAmb:	0000000000000001
 </pre>
 ===Kasulikud lisamaterjalid===

Imre: /* Kasulikud lisamaterjalid */

2026-05-03T22:44:04Z

Kasulikud lisamaterjalid

@@ 69. rida: / 69. rida: @@
   [ RESOURCE ] (e.g., /dev/sda, System Clock, Network Socket)
 </pre>
 ===Kasulikud lisamaterjalid===

Imre – 3. mai 2026, kell 22:42

2026-05-03T22:42:04Z

←Vanem redaktsioon		Redaktsioon: 4. mai 2026, kell 01:42
21. rida:		21. rida:
	Syscallisid on üldiselt kahesuguseid		Syscallisid on üldiselt kahesuguseid

		+	* Automatic Syscalls: Actions like mmap(), read(), or brk() are considered "safe." The kernel assumes that if you have the memory or the file handle, you can perform these actions. No special "permission" is needed beyond standard file permissions.
−	*
		+	* Restricted Syscalls: Actions like clock_adjtime(), reboot(), or mount() are "dangerous." Historically, the kernel had a simple rule: if (uid == 0) (Root), allow; else, deny.

	Joonis		Joonis