Arch Linux

Skript mit Mountbefehl sicher als Cronjob ausführen

Josephus Miller

Ich habe das folgende Backup-Skript wegen der cryptsetup und mount BEfehle bisher als Crontab von root ausgeführt:

#!/bin/bash

# Backup Daten + Dokumente

cryptsetup luksOpen /dev/disk/by-uuid/411afa4d-5c48-44b7-8e14-a45fd8bb93ba backup --key-file /crypto/backup.key

mount /dev/mapper/backup /mnt/backup


rsync -av --delete --exclude lost+found --exclude Finanz/Cloud --log-file=/home/klaus/logs/rsync.daten.log /mnt/Daten /mnt/backup/backup/Daten.backup

rsync -avx --delete --exclude lost+found --exclude Homepage --log-file=/home/klaus/logs/rsync.dokumente.log /home/klaus/Dokumente /mnt/backup/backup/Dokumente.backup


umount /mnt/backup

cryptsetup luksClose /dev/mapper/backup

echo "Backup wurde durchgeführt"

exit 0

Daraufhin bekam ich in diesem Thread die Anmerkung

Gerry_Ghetto Das ist ja praktisch für den Angreifer. Da hat er eine beschreibbare Datei, die er nach seinem Gutdünken anpassen kann, die dann mit erhöhten Rechten ausgeführt wird.

Was wäre der sicherste Weg, das Skript regelmäßig auszuführen? Die aktuelle Idee ist, die backup-Skripte über

ALL=NOPASSWD:/Pfad/zum/Programm

mit sudo ohne Passwort ausführbar zu machen. Ich bin aber nicht sicher, ob das wirklich sicherer ist.

brikler

Josephus Miller Was wäre der sicherste Weg, das Skript regelmäßig auszuführen?

ich würde so was mit einem systemd-timer versuchen

Martin-MS

Josephus Miller Was wäre der sicherste Weg, das Skript regelmäßig auszuführen? Die aktuelle Idee ist, die backup-Skripte über

ALL=NOPASSWD:/Pfad/zum/Programm

mit sudo ohne Passwort ausführbar zu machen. Ich bin aber nicht sicher, ob das wirklich sicherer ist.

Wie ich dem bisherigen Diskussionsverlauf entnehmen kann, wird das Skript als Benutzers root ausgeführt, warum dann noch der Aufruf über sudo?

Die Unsicherheit liegt nicht in der Art der Ausführung des Skripts, sondern in dessen Lage im Dateisystem. Nach meinem Verständnis sollte ein Skript, das von root ausgeführt wird, nicht in einem Benutzerverzeichnis liegen. Ein besserer Ablageort wäre beispielsweise /usr/local/bin. Damit gehört das Skript root und kann auch nur von diesem bearbeitet werden.

tuxnix

Sorry, dass der neue Thread schon da ist, hatte ich gar nicht gesehen.
Den Hinweis von Gerry_Getto hatte ich aber trotzdem noch im Kopf. 😉
Und auch schon eine der möglichen Antworten geliefert.

Ich schätze die Idee das script ohne Passworteingabe eine Aufgabe mit Rootrechten ausführen zu lassen ist das Gegenteil von gut. Es kommt darauf an, dass niemand (außer root) das Script abändern kann.

Zitat G_G: Da hat er [der Angreifer] eine beschreibbare Datei

Mein Vorschlag:
Mit einem chown root:root <scriptdatei> und danach chmod 755 <scriptdatei> gehört die Datei root und zur Gruppe root und alle anderen [und der vermeidliche Angreifer] können dann nur noch die Datei lesen.

tuxnix

brikler ich würde so was mit einem systemd-timer versuchen

Das ist auch eine sehr gute Möglichkeit. z.Bleistift so https://wiki.archlinux.de/title/Automatische_Sicherung_(Beispiel)

schard

Martin-MS Ein besserer Ablageort wäre beispielsweise /usr/local/bin. Damit gehört das Skript root und kann auch nur von diesem bearbeitet werden.

Ein paasenderer Ort für das Skript wäre es in der Tat. Aber es zu verschieben alleine reicht nicht. Für die Bearbeitung der Skriptdatei selbst ist es unnötig, Schreibprivilegien auf dem beinhaltenden Ordner zu haben. Man muss nur die Datei selbst beschreiben können dürfen.
Daher muss nach dem Verschieben auch ein chown root:root <datei> sowie ein chmod 755 <datei> erfolgen (s. @tuxnix )

Abgesehen davon bin ich eher ein Fan von Least Privilege. Für keine der Operationen sind tatsächlich root Rechte erforderlich. Mounten kann man mittels FUSE und für das Kopieren braucht man so wie so keine Privilegien.

Josephus Miller

Danke erstmal für die vielen Tipps, auch im anderen Thread. Ich brauche noch etwas, um mir eine passende Lösung rauszusuchen.

Josephus Miller

Hat jetzt zwar lange gedauert, aber nun kam ich endlich dazu das wieder zu automatisieren.

Ich habe die Skripte wie empfohlen nach /usr/local/bin verschoben und mit chown root:root <scriptdatei> und chmod 755 <scriptdatei> die Rechte angepasst. Da der Cronjob schon angelegt war habe ich der Einfachheit halber diesen wieder aktiviert.