https://wiki.ixheim.de/index.php?action=history&feed=atom&title=Systemd_Dienst-Privat_%2Ftmp%3DSystemd Dienst-Privat /tmp= - Versionsgeschichte2026-06-29T03:05:19ZVersionsgeschichte dieser Seite in Xinux WikiMediaWiki 1.35.1https://wiki.ixheim.de/index.php?title=Systemd_Dienst-Privat_/tmp%3D&diff=39405&oldid=prevThomas.will: Die Seite wurde neu angelegt: „ *Ein weiterer sehr einfacher, aber leistungsfähiger Konfigurationsschalter ist PrivateTmp=: ... [Service] ExecStart=... PrivateTmp=yes*Im obigen Beispiel…“2023-01-10T14:47:22Z<p>Die Seite wurde neu angelegt: „ *Ein weiterer sehr einfacher, aber leistungsfähiger Konfigurationsschalter ist PrivateTmp=: ... [Service] ExecStart=... PrivateTmp=yes*Im obigen Beispiel…“</p>
<p><b>Neue Seite</b></p><div><br />
*Ein weiterer sehr einfacher, aber leistungsfähiger Konfigurationsschalter ist PrivateTmp=:<br />
...<br />
[Service]<br />
ExecStart=...<br />
PrivateTmp=yes*Im obigen Beispiel werden nur die CAP_CHOWN- und CAP_KILL-Fähigkeiten vom Dienst beibehalten, und der Dienst und alle Prozesse, die er möglicherweise erstellt, haben keine Chance, jemals wiederIsolieren von Diensten vom Netzwerk<br />
<br />
...<br />
<br />
*Wenn diese Option aktiviert ist, stellt sie sicher, dass das /tmp-Verzeichnis, das der Dienst sieht, privat und vom /tmp des Hostsystems isoliert ist.<br />
*/tmp war traditionell ein gemeinsam genutzter Bereich für alle lokalen Dienste und Benutzer. <br />
*Im Laufe der Jahre war es eine Hauptquelle von Sicherheitsproblemen für eine Vielzahl von Diensten.<br />
*Symlink-Angriffe und DoS-Schwachstellen aufgrund erratbarer temporärer /tmp-Dateien sind häufig.<br />
*Indem das /tmp des Dienstes vom Rest des Hosts isoliert wird, werden solche Schwachstellen hinfällig.<br />
<br />
*Achtung: Einige Dienste missbrauchen /tmp tatsächlich als Speicherort für IPC-Sockets und andere Kommunikationsprimitive, obwohl dies fast immer eine Schwachstelle ist und /run ist der viel sicherere Ersatz dafür, Eeinfach weil es kein Ort ist, auf den nichtprivilegierte Prozesse schreiben können. <br />
*Zum Beispiel platziert X11 seine Kommunikations-Sockets unterhalb von /tmp (was eigentlich sicher ist – wenn auch immer noch nicht ideal – in dieser Ausnahme, da es dies in einem sicheren Unterverzeichnis tut, das beim frühen Booten erstellt wird). <br />
*Dienste, die über solche kommunizieren müssen Kommunikationsprimitive in /tmp sind keine Kandidaten für PrivateTmp=.<br />
*Glücklicherweise sind heutzutage nur noch sehr wenige Dienste übrig, die /tmp so missbrauchen.<br />
*Intern nutzt diese Funktion Dateisystem-Namensräume des Kernels. Wenn aktiviert, wird ein neuer Dateisystem-Namensraum geöffnet, der den größten Teil der Hosthierarchie mit Ausnahme von /tmp erbt.</div>Thomas.will