Sie führen chmod 000 auf einer Datei aus. Kann root sie trotzdem lesen?
Kurzantwort
Ja. Datei-Modi sind eine diskretionäre Zugriffskontrolle für unprivilegierte Prozesse. Die Manpage capabilities(7) sagt, dass privilegierte Prozesse alle Berechtigungsprüfungen des Kernels umgehen, und dass CAP_DAC_OVERRIDE speziell die Lese-, Schreib- und Ausführungsprüfungen für Dateien umgeht. chmod 000 stoppt also einen normalen Benutzer, nicht aber root oder einen Prozess mit dieser Capability. Um ein Geheimnis vor root zu schützen, braucht es Verschlüsselung oder Isolation, keine Mode-Bits.
Berechtigungsbits wirken absolut: --------- sieht aus wie eine verschlossene Tür. Für root ist sie das nicht.
Was der Kernel tut
Linux-Dateimodi sind Prüfungen der diskretionären Zugriffskontrolle für unprivilegierte Prozesse. Die Manpage capabilities(7) hält fest, dass privilegierte Prozesse alle Berechtigungsprüfungen des Kernels umgehen, während andere vollständig anhand von effektiver UID, GID und Zusatzgruppen geprüft werden. Capabilities zerlegen die root-Macht in Einheiten; CAP_DAC_OVERRIDE ist dokumentiert als Umgehung der Lese-, Schreib- und Ausführungsprüfungen für Dateien. CAP_DAC_READ_SEARCH umgeht Leseprüfungen für Dateien sowie Lese- und Ausführungsprüfungen für Verzeichnisse.
Sicherheitsfolgen
chmod 000schützt nicht vor einem root-Angreifer oder einem Prozess mit diesen Capabilities.- Geheimnisse, die root standhalten sollen, brauchen Verschlüsselung (mit Schlüsseln andernorts) oder Trennung, keine Mode-Bits.
- CAP_DAC_OVERRIDE für einen Dienst ist beim Dateizugriff fast so mächtig wie root – ein Least-Privilege-Review sollte das markieren.
Warum die Distraktoren scheitern
Modus 000 sperrt root nicht aus. Den Besitz per chown zu übernehmen ist unnötig, da root die Prüfung ohnehin umgeht. Das Sticky-Bit regelt das Löschen in gemeinsamen Verzeichnissen und hat mit dem Lesen dieser Datei nichts zu tun.
Was Interviewer hören wollen
„Ja – Berechtigungen halten normale Benutzer auf, nicht privilegierte Prozesse", plus den Capability-Namen als Bonus.
Wahrscheinliche Anschlussfragen
- Welche Capability würde einem Dienst erlauben, jede Datei zu lesen, ohne vollständiges root zu sein?
- Wie unterscheiden sich unveränderliche Attribute (chattr +i) von Mode-Bits gegenüber root?
- Warum ist das wichtig, wenn ein kompromittierter Webserver-Prozess als root läuft?