Dosya Yeteneklerini Güvende Tutmak: setcap ile Dosya Yetenekleri

İşletim sistemlerinde bazı programlar belirli işlemleri yapmak için kök yetkisine ihtiyaç duymadan çalışabilir; bu amaçla dosya yetenekleri kullanılır. setcap aracı, bu yeteneklerin dosya bazında atanmasını sağlar ve güvenlik için yaygın olarak tercih edilir. Ancak yanlış kullanıldığında güvenlik açıklarına yol açabilir. Bu yazı, temel kavramları, uygulanabilir adımları ve dikkat edilmesi gereken noktaları somut örneklerle ele alır.

• Neden dosya yetenekleri (capabilities) kullanılır: Sıkça kök yetkisi isteyen işlemler için sadece gerekli yetenekleri vermek, geniş kök yetkisini azaltır. Örneğin bir ağ hizmeti veya kök erişimi gerektirmeyen araçlar için minimum gerekli yetenekler atanabilir. Bu yaklaşım, privelege separation ve çapraz saldırı yüzeyini küçültür.
  
• setcap nedir ve nasıl çalışır: setcap, bir ikiliye atanan yetenekleri dosya sisteminde saklayan bir araçtır. Örneğin cap_net_bind_service yeteneği, bir programın ayrıcalıksız olarak 1024’ten düşük portlara bağlanmasına izin verir. Atama şu şekilde gerçekleşir: setcap 'cap_net_bind_service+ep' /usr/sbin/apache2. Bu, çalıştırıldığında programın yürütme sırasında gerekli yetenekleri kazanması anlamına gelir.
  
• Hangi yetenekler tipiktir: cap_net_bind_service (port bağlantısı), cap_sys_chroot (kök klasörü değiştirme), cap_dac_read_search (dosya sistemi üzerinde belirli arama izinleri), cap_sys_admin (genelde sakıncalı ve geniş yetenek; dikkatli kullanılır). En sık kullanılanlar genelde ağ hizmetleri için cap_net_bind_service ve ağ yönetimi ile ilgili cap_net_admin’dır.
  
• Uygulama adımları ve güvenlik ipuçları:
  
  • En az gerekli yetenekleri belirleyin: serviniz hangi operasyonları kök olmadan yapabilir? Bu soruya yanıt uygun yetenekleri seçmenize yardımcı olur.
  • Yeteneği sınırlama: ep (effective+permitted) modları çoğu durumda yeterlidir; capabilites ile atalım ve çalıştırmada yalnızca gerekli yetenekler aktif olsun.
  • Dosya sistemini dikkatle inceleyin: sabit disk üzerinde atanan yetenekler, taşıma veya kopyalama işlemlerinde de görünür olabilir. Şüpheli değişiklikleri izleyin.
  • Güncel güvenlik politikalarıyla uyum: eğer container veya sandbox kullanıyorsanız, yeteneklerin konteyner sınırlarını aşmadığından emin olun.
  • İzleme ve loglama: yetenek değişiklikleri ve atamalı dosyaların listelenmesi güvenlik için önemlidir; uyarı mekanizmaları kurun.
  
  
• Örnek senaryo üzerinden kısa bir yol haritası:
  
  • Web sunucusu süreçlerinden birinin belirli bir portu dinlemesi gerekiyorsa, genelde cap_net_bind_service yeteneği atanır. Bu, apache veya nginx gibi paketlerde güvenlik odaklı konfigürasyonları tamamlar.
  • Farklı bir araç, dosya üzerinde root derecesine ihtiyaç duymadan çalışabilsin diyecap_sys_admin yerine daha sınırlı bir yetenek seti araştırılır ve uygulanır.
  
  
• Dikkat edilmesi gerekenler:
  
  • CAPABILITIES tabanlı güvenlik her durumda kök yetkisini tamamen kaldırmaz; süreçler hala Linux güvenlik çemberlerinde izlenir ve bazı durumlarda CAPs ile bile potansiyel riskler olabilir.
  • Güncel bir sistemde, setcap ile atanan yetenekler bozulabilir veya kapsayıcı ortamlar tarafından kısıtlanabilir; bu tür ortamlarda yapısal politikalarla uyumlu hareket etmek gerekir.