[ruby-dev:15090] Re: setuid and seteuid

永井＠知能．九工大です．

From: Tanaka Akira <[e-mail]>
Subject: [ruby-dev:15086] Re: setuid and seteuid
Date: Fri, 9 Nov 2001 15:49:17 +0900
Message-ID: <[e-mail]>
akr> 問題はここで、unspecified と明確に書いてある以上、SUSv2 で保証された範
akr> 囲ではできないと判断せざるをえないのではないかと思います。そのような実
akr> 装が存在するかどうかではなく、存在してもそれを SUSv2 に従っているとい
akr> えるのが問題なわけです。

なるほど．それはそうですね．
root による setreuid の実行であれば uid が変ることは保証されるが，
非 root であれば変更可能な環境もあればそうでない環境もある．
でも，考えてみると，setreuid でダメだからといって，
他の関数を使えばできるかというと，できないですよね．
したがって，setuid(id) を setreuid(id,-1) で代用しても
同じということになりませんか？

で，保存ユーザ ID については，このマニュアルでは何も言ってませんよね？
unspecified と書いてある部分は
「非特権プロセスが実ユーザ ID を，現在の実/実効/保存ユーザ ID の
  いずれかと等しい値に設定できるかどうかは未定義である」
ということですよね．

では，保存ユーザ ID についてはどうなのかということになります．

ちなみに，今，この仕様をじっくりと見てて思ったんですが，
多分，これを最低限満たす仕様というのは 
setuid + seteuid でできる範囲と同じものですよね？
となると，ダメなものが含まれるのは仕方がない．
そう考えてしまうと，

akr> むろんこれは「SUSv2 に従った実装では動く」という主張ができないという以
akr> 上の意味はなく、実現に支障があるかどうかは個々の実装を調べなければなら
akr> ないということなんですが。

．．．というわけで，
結局は個別対応とせざるを得ないということですか．．．(^_^;

akr> > それはわかるんですが，setuid + seteuid だけだと，
akr> > suid-ruby が実現できなくて．(^_^;
akr> これはこれで興味深い話題で、深入りしたい気はするんですが、その前にひと
akr> つ聞いておきたいことがあります。
akr> suid-ruby って Ruby script で実現するんですか?

多くの (ほとんどの？) 環境では，
スクリプトに set-uid ビットをセットしても
set-uid ビットは有効になりませんよね．
例えばファイルオーナが bar の ruby スクリプト xxx.rb で
set-uid ビットを立てて foo が実行しても，
実/実効/保存は foo/foo/foo にしかならない．
foo/bar/bar にはなってくれないわけです．
で，suid-ruby はこれを可能にするための仕組みです．
# ですよね？ > 他のみなさん

具体的には suid-ruby バイナリのファイルオーナを 
root にして，set-uid ビットを立てます．
これにより先の xxx.rb を実行すると，
suid-ruby バイナリが起動した時点で
実/実効/保存が foo/root/root になります．
で，suid-ruby は，起動するとすぐに
動かそうとしている xxx.rb のファイルモードを調べ，
あたかも xxx.rb の set-uid ビットを有効に働いたかのように
実/実効/保存を foo/bar/bar に変更した後，xxx.rb を実行します．

# suid-ruby 内で実行できることをどこまで制限するかは
# また別の問題です．

ですから，Process.uid= 等の実装と，
suid-ruby の実現部分とは少し話が違います．
Process.uid= 等の実装では使えなくしている C function も，
suid-ruby の実現部分 ( foo/root/root ==> foo/bar/bar の変換 ) 
に必要であれば使って構わないということになるわけなんですが，
そうであったとしても setuid + seteuid の範囲では
foo/root/root ==> foo/bar/bar の変換が実現できないようなので，
さて困ったなというわけです．(^_^)
-- 
                                         永井 秀利 （九工大 知能情報）
                                             [e-mail]