Início / unix / Perguntas / 767356
Accepted
Juergen
Asked: 2024-01-20 19:16:11 +0800 CST

Privilégios de superusuário para o navegador Chromium

  • 772

Depois apt-get install chromiumde executá-lo no Debian 12,
ps alx | grep -e ^F -e ^5.*chromiumretorna:

F   UID     PID    PPID PRI  NI    VSZ   RSS WCHAN  STAT TTY        TIME COMMAND
5  1000 3452315 3452313  20   0 33884428 16712 do_sys S  ?          0:00 /usr/lib/chromium/chromium --type=zygote --crashpad-handler-pid=3452306 --enable-crash-reporter=,built on Debian 12.4, running on Debian 12.4 --change-stack-guard-on-fork=enable

Isso foi executado no LUbuntu 18 depois apt-get install chromium-browser(o que acontece
snap install chromium) /var/lib/dpkg/info/chromium-browser.preinst:

F   UID     PID    PPID PRI  NI    VSZ   RSS WCHAN  STAT TTY        TIME COMMAND
5  1000  197953  197951  20   0 33909972 1228 do_sys S   ?          0:00 /snap/chromium/2729/usr/lib/chromium-browser/chrome --type=zygote --crashpad-handler-pid=197944 --enable-crash-reporter=,snap --change-stack-guard-on-fork=enable

Fonde o valor do sinalizador 5significa privilégios de superusuário usados ​​de acordo com man ps.

Por que o navegador Chromium precisa e obtém privilégios de superusuário quando instalado pelo gerenciamento regular de pacotes e executado por um usuário não privilegiado?

ChatGPT diz que isso seria para instalação ou atualização, mas não acredito nisso porque fiz a instalação regularmente apt-gete as atualizações seriam feitas unattended-upgradesno Debian ou snapdno Ubuntu.

linux

1 respostas

  1. Best Answer

    POR FALAR NISSO :

    onde o sinalizador F valor 5 significa privilégios de superusuário usados ​​de acordo com man ps.

    Na verdade, mas não só: 5 = 1 + 4

    PROCESS FLAGS A soma desses valores é exibida na coluna "F", que é fornecida pelo especificador de saída dos flags:

               1    forked but didn't exec
           4    used super-user privileges

    O sinalizador bifurcado, mas não executado, confirma que o --type=zygote parâmetro definido no processo chrome listado foi realmente levado em consideração, tornando-o um processo zigoto com sucesso .

    Além disso, observe o uso do pretérito " usado ", o que significa que o relatório não reflete o status atual em relação aos recursos que podem ter sido descartados logo após a inicialização do processo. (É considerada prática recomendada um processo eliminar privilégios assim que eles não forem mais necessários)

    Por razões óbvias de segurança, o Chromium recorrerá ao sandbox .
    Exceto no caso de kernels agora muito antigos, ele usará a técnica de sandbox de namespaces de usuário . Um processo zigoto é responsável por configurá-lo.

    Em termos de segurança, o Zygote é responsável por configurar e contabilizar a sandbox do namespace.

    Embora essa técnica seja baseada em namespaces sem privilégios, o processo responsável por configurá-la realmente precisa do CAP_SYS_CHROOTrecurso privilegiado , mas somente até que o sandbox esteja totalmente ativado.

    Então, resumindo: esse processo realmente precisa de recursos de superusuário para… permitir que tudo seja executado sem privilégios… ;-) e irá simplesmente descartá-los assim que o ambiente apropriado for definido.

    • 8

relate perguntas