proto.lib

Linux Capabilities: chia nhỏ quyền root

Thay vì cấp toàn bộ quyền root, Linux capabilities chia nhỏ đặc quyền thành từng đơn vị như CAP_NET_BIND_SERVICE (bind cổng dưới 1024) hay CAP_SYS_ADMIN; file capability gắn trên binary an toàn hơn setuid vì không nâng toàn bộ uid. Trình bày permitted/effective/inheritable set, bounding set, và việc container runtime mặc định drop hầu hết capability.

Operating SystemsNâng cao2026-08-19
Linux Capabilities: chia nhỏ quyền root

Tags

#capabilities#cap-net-bind-service#setcap#bounding-set#least-privilege#containers

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

Operating SystemsNâng cao

Siết systemd service bằng unit file: namespace + seccomp trước khi exec

Các directive như ProtectSystem, ProtectHome, PrivateTmp, NoNewPrivileges, CapabilityBoundingSet, SystemCallFilter khiến systemd dựng sẵn mount namespace riêng và nạp bộ lọc seccomp-bpf cho tiến trình trước khi gọi execve; systemd-analyze security chấm điểm mức lộ diện còn lại để vá dần.

#systemd#hardening#seccomp#namespaces
Operating SystemsNâng cao

binfmt_misc + QEMU user-mode: chạy binary arm64 trên máy x86

Kernel dùng cơ chế binfmt_misc so khớp magic bytes đầu file thực thi với một entry đã đăng ký (ví dụ ELF class arm64) và chuyển việc thực thi cho một INTERPRETER đã khai báo — thường là qemu-aarch64-static; nhờ vậy build đa kiến trúc (multi-arch) chạy được trên một máy x86 duy nhất.

#binfmt-misc#qemu-user#cross-architecture#emulation
Operating SystemsNâng cao

Landlock: tiến trình tự giới hạn chính mình không cần root

Landlock cho phép một tiến trình không đặc quyền khai báo ruleset (đường dẫn nào được đọc/ghi/thực thi, phiên bản mới hơn còn kiểm soát bind/connect theo cổng) rồi tự áp dụng lên chính nó; mọi thứ chạy sau đó — kể cả code được load hoặc exec — đều bị giới hạn, và ruleset chỉ có thể siết chặt thêm chứ không bao giờ nới lỏng.

#landlock#sandbox#unprivileged#lsm