Pas de vidages mémoire des programmes privilégiés

Pourquoi il compte

Quand un programme qui tourne avec des droits supplémentaires, comme sudo ou passwd, plante, le noyau peut enregistrer sa mémoire dans un fichier. Cette mémoire peut contenir mots de passe, clés ou condensés, et un fichier laissé dans un endroit lisible les livre au premier venu. Ne pas écrire l’image supprime cette fuite.

Comment il fonctionne

Met fs.suid_dumpable à 0, le comportement historique : les processus qui ont changé de niveau de privilège ou sont en exécution seule ne produisent pas d’image. Les autres modes (1 et 2) autorisent les images à dessein pour le débogage, le mode 1 étant jugé peu sûr par la documentation du noyau.

À qui il s'adresse

Bien pour toute machine qui ne débogue pas de programmes setuid. Les développeurs sur la piste d’un plantage d’un outil setuid peuvent le réactiver un temps.

Ce que vous pouvez remarquer

Rien à l’usage normal. Le plantage d’un programme privilégié ne laisse ni fichier core ni rapport, ce qui n’importe que si vous voulez enquêter sur ce plantage.

Le vérifier sur votre ordinateur

Lire la valeur actuelle :

sysctl fs.suid_dumpable

L'appliquer à la main

La définir maintenant (jusqu'au prochain redémarrage) :

sudo sysctl -w fs.suid_dumpable=0

La conserver après les redémarrages, dans un fichier qui vous appartient :

sudo tee /etc/sysctl.d/90-fs-suid-dumpable.conf <<'EOF'
fs.suid_dumpable = 0
EOF
sudo sysctl --system

L'annuler

Supprimez le fichier et redémarrez, ou remettez l'ancienne valeur avec sysctl -w.

Réglages liés

• Limiter l'inspection d'un programme par un autre

Sources

Linux Hardening Guide (madaidans)

2.2.3

Linux kernel documentation

fs.suid_dumpable