เมื่อใดควรใช้ chroot อย่างเหมาะสม

ฉันได้ยินเกี่ยวกับความต้องการที่จะ chroot ผูกตลอดเวลา ยุติธรรมพอสมควร แต่โปรแกรมอื่น ๆ ล่ะ? "กฎ" คืออะไร (เป็นส่วนตัวหรือเป็นที่ยอมรับ / ยอมรับอย่างกว้างขวาง) สำหรับการตัดสินใจว่าควรจะติดตั้งโปรแกรมใด

-M

โดยทั่วไปคุณอาจต้องการใช้ chroot ด้วยเหตุผลหลายประการ:

• ต้องการรุ่นการกระจาย / สถาปัตยกรรม / การกระจายอื่นโดยไม่ต้องการใช้ OpenVZ หรือเครื่องเสมือน ตัวอย่างเช่นฉันใช้ chroots เพื่อให้มีทั้งสภาพแวดล้อมการรวบรวม i386 และ amd64 บนเครื่อง amd64
• การ จำกัด การเข้าถึงระบบให้กับผู้ใช้ ตัวอย่างเช่นคุณสามารถใช้ chroot ร่วมกับ scponly เพื่อ จำกัด คำสั่งที่ผู้ใช้สามารถเข้าถึงได้ นี่เป็นระบบการจำคุกที่ จำกัด มากเนื่องจากพวกเขายังสามารถเข้าถึงเครือข่ายได้
• การ จำกัด การเข้าถึงระบบไปยังโปรแกรมต่างๆ โดยทั่วไปคุณอาจต้องการทำเช่นนั้นสำหรับ daemons ส่วนใหญ่เช่นการผูกหรือ apache วิธีนี้โปรแกรมเหล่านี้จะไม่สามารถเข้าถึงระบบได้โดยตรงดังนั้นหากผู้โจมตีสามารถใช้ช่องโหว่ด้านความปลอดภัยของโปรแกรมได้จะไม่สามารถเข้าถึงระบบได้โดยตรง แต่จะพบว่าตัวเองอยู่ใน chroot ช่วยเสริมความปลอดภัย แต่ไม่รับประกันว่าระบบของคุณปลอดภัย

เมื่อคำตอบคือ 'เพื่อความปลอดภัย' ดูเหยียดหยาม chroot

เมื่อมีคนแนะนำว่า chroot มักถูกใช้เป็นเครื่องมือรักษาความปลอดภัย Adrian Bunk ตอบโต้ "คนที่ไร้ความสามารถในการใช้งานโซลูชันความปลอดภัยเป็นปัญหาจริง" อลันเสริมว่า "chroot ไม่ใช่และไม่เคยเป็นเครื่องมือรักษาความปลอดภัยผู้คนได้สร้างสิ่งต่าง ๆ ตามคุณสมบัติของ chroot แต่ขยายออกไป (คุก BSD, Linux vserver) แต่มันแตกต่างกันมาก"

หากคุณมีโปรแกรมที่ต้องการชุด / รุ่นของไลบรารี่ซึ่งแตกต่างจากที่ติดตั้งบนระบบของคุณนั่นจะเป็นตัวเลือกที่ดีสำหรับการติดตั้ง "chrooted"

chroot ยังมีประโยชน์สำหรับการติดตั้ง Linux รุ่นต่าง ๆ ในสภาพแวดล้อมของตัวเองโดยไม่ต้องใช้ VM หรืออีมูเลเตอร์ ( การตั้งค่า Debian chroot ภายใต้ Red Hat )

ทุกอย่างขึ้นอยู่กับว่าคุณหวาดระแวงแค่ไหน เพื่อจุดประสงค์และจุดประสงค์ส่วนใหญ่แต่ละบริการควรเป็น chroot-ed ด้วยเหตุผลด้านความปลอดภัย อย่างไรก็ตามอาจเป็นไปไม่ได้ที่จะทำเช่นนี้กับทุกสิ่งเพราะอาจทำให้เกิดความเบื่อหน่ายเมื่อพยายามทำซ้ำทุกอย่าง ความเป็นไปได้อีกประการที่ควรพิจารณาเพื่อวัตถุประสงค์ในการแยกคือการใช้เครื่องเสมือนที่มีน้ำหนักเบาเช่น OpenVZ / VServer ซึ่งมีความสำคัญเหมือน chroot เพียงเท่านั้น