セキュリティ - 版の履歴

N: /* proc ファイルシステム内のカーネルポインタへのアクセスを制限する */

2025-12-30T03:56:37Z

proc ファイルシステム内のカーネルポインタへのアクセスを制限する

← 古い版		2025年12月30日 (火) 12:56時点における版
528行目:		528行目:
	=== proc ファイルシステム内のカーネルポインタへのアクセスを制限する ===		=== proc ファイルシステム内のカーネルポインタへのアクセスを制限する ===

	{{ic\|kernel.kptr_restrict}} を 1 に設定すると、{{ic\|CAP_SYSLOG}} を持たない通常ユーザから {{ic\|/proc/kallsyms}} 内のカーネルシンボルのアドレスが秘匿され、カーネルのエクスプロイトで動的にアドレス/シンボルを解決することが困難になります。これは、事前にコンパイルされた Arch Linux カーネルではあまり意味がありません。周到な攻撃者はカーネルパッケージをダウンロードして、そこから手動でシンボルを取得することができるからです。しかしながら、自分でカーネルをコンパイルする場合は、ローカルの root 攻撃を減らす効果があります。ただし、一部の {{Pkg\|perf}} コマンドの機能が、root 以外のユーザによって使用されば場合に破壊されます (しかし、いずれにせよ多くの {{Pkg\|perf}} コマンドは root アクセスを必要とします)。詳細は {{Bug\|34323}} を参照してください。		{{ic\|kernel.kptr_restrict}} を 1 に設定すると、{{ic\|CAP_SYSLOG}} を持たない通常ユーザから {{ic\|/proc/kallsyms}} 内のカーネルシンボルのアドレスが秘匿され、カーネルのエクスプロイトで動的にアドレス/シンボルを解決することが困難になります。これは、事前にコンパイルされた Arch Linux カーネルではあまり意味がありません。周到な攻撃者はカーネルパッケージをダウンロードして、そこから手動でシンボルを取得することができるからです。しかしながら、自分でカーネルをコンパイルする場合は、ローカルの root 攻撃を減らす効果があります。ただし、一部の {{Pkg\|perf}} コマンドの機能が、root 以外のユーザによって使用された場合に破壊されます (しかし、いずれにせよ多くの {{Pkg\|perf}} コマンドは root アクセスを必要とします)。詳細は {{Bug\|34323}} を参照してください。

	{{ic\|kernel.kptr_restrict}} を 2 に設定すると、{{ic\|/proc/kallsyms}} 内のカーネルシンボルのアドレスが権限に依らず隠されます。		{{ic\|kernel.kptr_restrict}} を 2 に設定すると、{{ic\|/proc/kallsyms}} 内のカーネルシンボルのアドレスが権限に依らず隠されます。

Bsahd: /* パスワード */ Linuxは固有名詞なので最初を大文字にするべき

2025-12-29T10:52:48Z

パスワード: Linuxは固有名詞なので最初を大文字にするべき

← 古い版		2025年12月29日 (月) 19:52時点における版
25行目:		25行目:

	==パスワード==		==パスワード==
	パスワードは安全な ~~linux~~ システムのかぎです。パスワードは[[ユーザーとグループ\|ユーザーアカウント]], [[ディスク暗号化\|暗号化されたファイルシステム]], [[SSH 鍵\|SSH]]/[[GPG]] 鍵などを守ります。コンピュータを使用する人を信頼するのに使う主要な手段なので、安全なパスワードを選んでそれを保護するというのがセキュリティの大部分と言っても過言ではありません。		パスワードは安全な Linux システムの鍵です。パスワードは[[ユーザーとグループ\|ユーザーアカウント]], [[ディスク暗号化\|暗号化されたファイルシステム]], [[SSH 鍵\|SSH]]/[[GPG]] 鍵などを守ります。コンピュータを使用する人を信頼するのに使う主要な手段なので、安全なパスワードを選んでそれを保護するというのがセキュリティの大部分と言っても過言ではありません。

	=== 安全なパスワードの選び方 ===		=== 安全なパスワードの選び方 ===

Oech3: /* SUID ファイルと SGID ファイル */

2025-12-28T16:19:02Z

SUID ファイルと SGID ファイル

← 古い版		2025年12月29日 (月) 01:19時点における版
259行目:		259行目:
	* chage, expiry, gpasswd, groupmems, [[passwd]], sg, ({{Pkg\|shadow}})		* chage, expiry, gpasswd, groupmems, [[passwd]], sg, ({{Pkg\|shadow}})
	* [[FUSE\|fusermount3]], fusermount		* [[FUSE\|fusermount3]], fusermount
			* pkexec
	* pkexec, polkit-agent-helper-1[https://github.com/polkit-org/polkit/pull/501] ([[polkit]])
	* [[OpenSSH\|ssh-keysign]]		* [[OpenSSH\|ssh-keysign]]
	* chfn, chsh, mount, newgrp, umount, wall, write ({{Pkg\|util-linux}})		* chfn, chsh, mount, newgrp, umount, wall, write ({{Pkg\|util-linux}})

KrisWalton: /* 物理セキュリティ */ 英語版の編集を反映、訳文の修正

2025-08-03T10:03:34Z

物理セキュリティ: 英語版の編集を反映、訳文の修正

← 古い版		2025年8月3日 (日) 19:03時点における版
743行目:		743行目:
	十分な時間とリソースさえあればコンピュータへの物理的なアクセスは root アクセスになります。しかしながら、十分な防御策を張ることで''実用的で''高いレベルのセキュリティを得ることができます。		十分な時間とリソースさえあればコンピュータへの物理的なアクセスは root アクセスになります。しかしながら、十分な防御策を張ることで''実用的で''高いレベルのセキュリティを得ることができます。

	攻撃者は悪意のある IEEE 1394 (FireWire), Thunderbolt, PCI Express デバイスを取り付けることでメモリーへの完全なアクセスを手に入れることができ、次に起動した時には簡単にコンピュータの完全なコントロールを手中に収めることができます [http://www.breaknenter.org/projects/inception/]。これを防ぐためにできることは限られており、悪意のあるファームウェアをドライブに書き込むなどハードウェア自体の改変に対処することは不可能です。ただし、攻撃者の大部分にはこうした知識がなく実行されることはほとんどありません。		攻撃者は悪意のある IEEE 1394 (FireWire), Thunderbolt, PCI Express デバイスを取り付けることでメモリーへの完全なアクセスを手に入れることができ、次に起動した時には簡単にコンピュータの完全なコントロールを手中に収めることができます [http://www.breaknenter.org/projects/inception/]。これを防ぐためにできることは限られており、悪意のあるファームウェアをドライブに書き込むなどハードウェア自体の改変に対処することは不可能です。ただし、攻撃者の大部分にはこうした知識やそこまでの意図はなく、現実に実行されることはほとんどありません。

	[[#ディスク暗号化\|ディスク暗号化]]はコンピュータが盗まれた場合にデータへのアクセスを防止しますが、あなたが次にログインしたときにデータを取得するために悪意のあるファームウェアが能力のある攻撃者によってインストールされる可能性があります。		[[#ディスク暗号化\|ディスク暗号化]]はコンピュータが盗まれた場合にデータへのアクセスを防止しますが、あなたが次にログインしたときにデータを取得するために悪意のあるファームウェアが能力のある攻撃者によってインストールされる可能性があります。
769行目:		769行目:
	=== セキュアブート ===		=== セキュアブート ===

	[[セキュアブート]] は [[UEFI]] の機能で、コンピュータが起動するファイルの認証を可能にするものです。これは、起動パーティション内のファイルを置き換えるような、いくつかの [https://ja.wikipedia.org/wiki/%E6%82%AA%E6%84%8F%E3%81%82%E3%82%8B%E3%83%A1%E3%82%A4%E3%83%89%E6%94%BB%E6%92%83 悪意あるメイド攻撃] を防止するのに役立つ。通常、コンピュータにはベンダー (OEM) によって登録されたキーが付属しています。しかし、これを取り外して、コンピュータを「セットアップモード」にし、ユーザーが自分のキーを登録・管理できるようにすることができます。		[[セキュアブート]] は [[UEFI]] の機能で、コンピュータが起動するファイルの認証を可能にするものです。これは、起動パーティション内のファイルを置き換えるような、いくつかの [https://ja.wikipedia.org/wiki/%E6%82%AA%E6%84%8F%E3%81%82%E3%82%8B%E3%83%A1%E3%82%A4%E3%83%89%E6%94%BB%E6%92%83 悪意あるメイド攻撃] を防止するのに役立ちます。通常、コンピュータにはベンダー (OEM) によって登録されたキーが付属しています。しかし、これを取り外して、コンピュータを「セットアップモード」にし、ユーザーが自分のキーを登録・管理できるようにすることができます。

	セキュアブートのページでは、[https://wiki.archlinux.org/title/Unified_Extensible_Firmware_Interface/Secure_Boot#Implementing_Secure_Boot using your own keys] によってセキュアブートを設定する方法を案内しています。		セキュアブートのページでは、[https://wiki.archlinux.org/title/Unified_Extensible_Firmware_Interface/Secure_Boot#Implementing_Secure_Boot using your own keys] によってセキュアブートを設定する方法を案内しています。
775行目:		775行目:
	=== トラステッドプラットフォームモジュール(TPM) ===		=== トラステッドプラットフォームモジュール(TPM) ===

	[[Trusted Platform Module\|TPM]] は、暗号鍵が埋め込まれたハードウェア・マイクロプロセッサです。これは、最近のほとんどのコンピュータの基本的な信頼性の根源を形成し、ブートチェーンのエンドツーエンドの検証を可能にします。内部スマートカードとして使用したり、コンピュータ上で動作するファームウェアを証明したり、改ざん防止とブルートフォース耐性のあるストアにユーザーが~~シークレットに挿入~~することができます。		[[Trusted Platform Module\|TPM]] は、暗号鍵が埋め込まれたハードウェア・マイクロプロセッサです。これは、最近のほとんどのコンピュータの基本的な信頼の根源を形成し、ブートチェーンのエンドツーエンドの検証を可能にします。内部スマートカードとして使用したり、コンピュータ上で動作するファームウェアを証明したり、改ざん防止とブルートフォース耐性のあるストアにユーザーが秘密情報を保管することができます。

	=== リムーバブルフラッシュドライブ上のブートパーティション ===		=== リムーバブルフラッシュドライブ上のブートパーティション ===

KrisWalton: /* ブートローダー */ 誤訳と思われる部分の整理

2025-07-20T14:08:06Z

ブートローダー: 誤訳と思われる部分の整理

← 古い版		2025年7月20日 (日) 23:08時点における版
753行目:		753行目:
	=== ブートローダー ===		=== ブートローダー ===

	[[Arch ブートプロセス#ブートローダー\|ブートローダー]] を保護することは非常に重要です。保護されていないブートローダは、~~例えば~~ {{ic\|1=init=/bin/sh}} を設定することでログインの制限を回避することができ~~ます。[[カーネルパラメータ]] でシェルに直接ブートするようにし~~ます。		[[Arch ブートプロセス#ブートローダー\|ブートローダー]] を保護することは非常に重要です。保護されていないブートローダは、[[カーネルパラメータ]]に{{ic\|1=init=/bin/sh}} を設定することでシェルに直接ブートしてログインの制限を回避することができます。

	==== Syslinux ====		==== Syslinux ====

Oech3: /* SUID ファイルと SGID ファイル */

2025-04-27T11:57:33Z

SUID ファイルと SGID ファイル

← 古い版		2025年4月27日 (日) 20:57時点における版
258行目:		258行目:
	* [[PAM\|unix_chkpwd]]		* [[PAM\|unix_chkpwd]]
	* chage, expiry, gpasswd, groupmems, [[passwd]], sg, ({{Pkg\|shadow}})		* chage, expiry, gpasswd, groupmems, [[passwd]], sg, ({{Pkg\|shadow}})
	* [[FUSE\|fusermount3]]		* [[FUSE\|fusermount3]], fusermount
	* pkexec, polkit-agent-helper-1[https://github.com/polkit-org/polkit/pull/501] ([[polkit]])		* pkexec, polkit-agent-helper-1[https://github.com/polkit-org/polkit/pull/501] ([[polkit]])
	* [[OpenSSH\|ssh-keysign]]		* [[OpenSSH\|ssh-keysign]]

Oech3: SUIDバイナリの同期/* SUID ファイルと SGID ファイル */

2025-04-20T11:29:45Z

SUIDバイナリの同期SUID ファイルと SGID ファイル

← 古い版		2025年4月20日 (日) 20:29時点における版
257行目:		257行目:

	* [[PAM\|unix_chkpwd]]		* [[PAM\|unix_chkpwd]]
	* chage expiry gpasswd groupmems [[passwd]] sg ({{Pkg\|shadow}} ~~パッケージ~~)		* chage, expiry, gpasswd, groupmems, [[passwd]], sg, ({{Pkg\|shadow}})
	* [[FUSE\|fusermount3]]		* [[FUSE\|fusermount3]]
	* pkexec polkit-agent-helper-1[https://github.com/polkit-org/polkit/pull/501] ([[polkit]] ~~パッケージ~~)		* pkexec, polkit-agent-helper-1[https://github.com/polkit-org/polkit/pull/501] ([[polkit]])
	* [[OpenSSH\|ssh-keysign]]		* [[OpenSSH\|ssh-keysign]]
	* chfn chsh mount newgrp umount wall write ({{Pkg\|util-linux}} ~~パッケージ~~)		* chfn, chsh, mount, newgrp, umount, wall, write ({{Pkg\|util-linux}})
	* [[sudo]] [[doas]] [[su]] [[Kerberos\|ksu]]		* [[sudo]], {{Pkg\|sudo-rs}}, [[doas]], [[su]], su-rs, [[Kerberos\|ksu]]
	* [[firejail]]		* [[firejail]]
	* [[Dbus\|dbus-daemon-launch-helper]]		* [[Dbus\|dbus-daemon-launch-helper]]
	* [[Chromium\|chromium-sandbox]]		* [[Chromium\|chromium-sandbox]]
			* [[Xorg\|Xorg.wrap]]

	このような実行ファイルの主なリスクとして、特権昇格の脆弱性があります。例えば [[Wikipedia:Setuid#Security impact]] を参照してください。[https://www.cvedetails.com/vulnerability-list/vendor_id-16224/product_id-36412/Calibre-ebook-Calibre.html][https://www.cvedetails.com/product/32625/Sudo-Project-Sudo.html?vendor_id=15714][https://www.cvedetails.com/vulnerability-list/vendor_id-16191/Firejail-Project.html]		このような実行ファイルの主なリスクとして、特権昇格の脆弱性があります。例えば [[Wikipedia:Setuid#Security impact]] を参照してください。[https://www.cvedetails.com/vulnerability-list/vendor_id-16224/product_id-36412/Calibre-ebook-Calibre.html][https://www.cvedetails.com/product/32625/Sudo-Project-Sudo.html?vendor_id=15714][https://www.cvedetails.com/vulnerability-list/vendor_id-16191/Firejail-Project.html]

Oech3: 同期/* SUID ファイルと SGID ファイル */

2025-04-09T15:33:20Z

同期SUID ファイルと SGID ファイル

← 古い版		2025年4月10日 (木) 00:33時点における版
259行目:		259行目:
	* chage expiry gpasswd groupmems [[passwd]] sg ({{Pkg\|shadow}} パッケージ)		* chage expiry gpasswd groupmems [[passwd]] sg ({{Pkg\|shadow}} パッケージ)
	* [[FUSE\|fusermount3]]		* [[FUSE\|fusermount3]]
	* pkexec polkit-agent-helper-1 ([[polkit]] パッケージ)		* pkexec polkit-agent-helper-1[https://github.com/polkit-org/polkit/pull/501] ([[polkit]] パッケージ)
	* [[OpenSSH\|ssh-keysign]]		* [[OpenSSH\|ssh-keysign]]
	* chfn chsh mount newgrp umount wall write ({{Pkg\|util-linux}} パッケージ)		* chfn chsh mount newgrp umount wall write ({{Pkg\|util-linux}} パッケージ)

Oech3: sg/* SUID ファイルと SGID ファイル */

2025-04-07T07:14:19Z

sgSUID ファイルと SGID ファイル

← 古い版		2025年4月7日 (月) 16:14時点における版
257行目:		257行目:

	* [[PAM\|unix_chkpwd]]		* [[PAM\|unix_chkpwd]]
	* chage expiry gpasswd groupmems [[passwd]] ({{Pkg\|shadow}} パッケージ)		* chage expiry gpasswd groupmems [[passwd]] sg ({{Pkg\|shadow}} パッケージ)
	* [[FUSE\|fusermount3]]		* [[FUSE\|fusermount3]]
	* pkexec polkit-agent-helper-1 ([[polkit]] パッケージ)		* pkexec polkit-agent-helper-1 ([[polkit]] パッケージ)

Oech3: SUIDバイナリとリンク/* SUID ファイルと SGID ファイル */

2025-04-07T07:08:18Z

SUIDバイナリとリンクSUID ファイルと SGID ファイル

← 古い版		2025年4月7日 (月) 16:08時点における版
254行目:		254行目:
	=== SUID ファイルと SGID ファイル ===		=== SUID ファイルと SGID ファイル ===

	[[Wikipedia:ja:Setuid\|Setuid]] ビットや Setgid ビットが設定されたファイルには注意しましょう。このようなファイルの例としては、以下があります。~~これらは {{ic\|/usr/bin}} 内にあり、SUID ビットが設定されていて、root によって所有されています:~~		[[Wikipedia:ja:Setuid\|Setuid]] ビットや Setgid ビットが設定されたファイルには注意しましょう。このようなファイルの例としては、以下があります。

			* [[PAM\|unix_chkpwd]]
	* gpasswd
			* chage expiry gpasswd groupmems [[passwd]] ({{Pkg\|shadow}} パッケージ)
	* [[Poklit\|pkexec]]
	* [[~~sudo]] [[doas~~]]		* [[FUSE\|fusermount3]]
			* pkexec polkit-agent-helper-1 ([[polkit]] パッケージ)
	* [[su]] ksu
	* [[~~passwd~~]]		* [[OpenSSH\|ssh-keysign]]
			* chfn chsh mount newgrp umount wall write ({{Pkg\|util-linux}} パッケージ)
			* [[sudo]] [[doas]] [[su]] [[Kerberos\|ksu]]
	* [[firejail]]		* [[firejail]]
			* [[Dbus\|dbus-daemon-launch-helper]]
	* [[Chromium\|chromium-sandbox]]		* [[Chromium\|chromium-sandbox]]

← 古い版		2025年12月29日 (月) 01:19時点における版
259行目:		259行目:
	* chage, expiry, gpasswd, groupmems, [[passwd]], sg, ({{Pkg\|shadow}})		* chage, expiry, gpasswd, groupmems, [[passwd]], sg, ({{Pkg\|shadow}})
	* [[FUSE\|fusermount3]], fusermount		* [[FUSE\|fusermount3]], fusermount
			* pkexec
	* pkexec, polkit-agent-helper-1[https://github.com/polkit-org/polkit/pull/501] ([[polkit]])
	* [[OpenSSH\|ssh-keysign]]		* [[OpenSSH\|ssh-keysign]]
	* chfn, chsh, mount, newgrp, umount, wall, write ({{Pkg\|util-linux}})		* chfn, chsh, mount, newgrp, umount, wall, write ({{Pkg\|util-linux}})

← 古い版		2025年4月27日 (日) 20:57時点における版
258行目:		258行目:
	* [[PAM\|unix_chkpwd]]		* [[PAM\|unix_chkpwd]]
	* chage, expiry, gpasswd, groupmems, [[passwd]], sg, ({{Pkg\|shadow}})		* chage, expiry, gpasswd, groupmems, [[passwd]], sg, ({{Pkg\|shadow}})
	* [[FUSE\|fusermount3]]		* [[FUSE\|fusermount3]], fusermount
	* pkexec, polkit-agent-helper-1[https://github.com/polkit-org/polkit/pull/501] ([[polkit]])		* pkexec, polkit-agent-helper-1[https://github.com/polkit-org/polkit/pull/501] ([[polkit]])
	* [[OpenSSH\|ssh-keysign]]		* [[OpenSSH\|ssh-keysign]]

← 古い版		2025年4月20日 (日) 20:29時点における版
257行目:		257行目:

	* [[PAM\|unix_chkpwd]]		* [[PAM\|unix_chkpwd]]
	* chage expiry gpasswd groupmems [[passwd]] sg ({{Pkg\|shadow}} ~~パッケージ~~)		* chage, expiry, gpasswd, groupmems, [[passwd]], sg, ({{Pkg\|shadow}})
	* [[FUSE\|fusermount3]]		* [[FUSE\|fusermount3]]
	* pkexec polkit-agent-helper-1[https://github.com/polkit-org/polkit/pull/501] ([[polkit]] ~~パッケージ~~)		* pkexec, polkit-agent-helper-1[https://github.com/polkit-org/polkit/pull/501] ([[polkit]])
	* [[OpenSSH\|ssh-keysign]]		* [[OpenSSH\|ssh-keysign]]
	* chfn chsh mount newgrp umount wall write ({{Pkg\|util-linux}} ~~パッケージ~~)		* chfn, chsh, mount, newgrp, umount, wall, write ({{Pkg\|util-linux}})
	* [[sudo]] [[doas]] [[su]] [[Kerberos\|ksu]]		* [[sudo]], {{Pkg\|sudo-rs}}, [[doas]], [[su]], su-rs, [[Kerberos\|ksu]]
	* [[firejail]]		* [[firejail]]
	* [[Dbus\|dbus-daemon-launch-helper]]		* [[Dbus\|dbus-daemon-launch-helper]]
	* [[Chromium\|chromium-sandbox]]		* [[Chromium\|chromium-sandbox]]
			* [[Xorg\|Xorg.wrap]]

	このような実行ファイルの主なリスクとして、特権昇格の脆弱性があります。例えば [[Wikipedia:Setuid#Security impact]] を参照してください。[https://www.cvedetails.com/vulnerability-list/vendor_id-16224/product_id-36412/Calibre-ebook-Calibre.html][https://www.cvedetails.com/product/32625/Sudo-Project-Sudo.html?vendor_id=15714][https://www.cvedetails.com/vulnerability-list/vendor_id-16191/Firejail-Project.html]		このような実行ファイルの主なリスクとして、特権昇格の脆弱性があります。例えば [[Wikipedia:Setuid#Security impact]] を参照してください。[https://www.cvedetails.com/vulnerability-list/vendor_id-16224/product_id-36412/Calibre-ebook-Calibre.html][https://www.cvedetails.com/product/32625/Sudo-Project-Sudo.html?vendor_id=15714][https://www.cvedetails.com/vulnerability-list/vendor_id-16191/Firejail-Project.html]

← 古い版		2025年4月10日 (木) 00:33時点における版
259行目:		259行目:
	* chage expiry gpasswd groupmems [[passwd]] sg ({{Pkg\|shadow}} パッケージ)		* chage expiry gpasswd groupmems [[passwd]] sg ({{Pkg\|shadow}} パッケージ)
	* [[FUSE\|fusermount3]]		* [[FUSE\|fusermount3]]
	* pkexec polkit-agent-helper-1 ([[polkit]] パッケージ)		* pkexec polkit-agent-helper-1[https://github.com/polkit-org/polkit/pull/501] ([[polkit]] パッケージ)
	* [[OpenSSH\|ssh-keysign]]		* [[OpenSSH\|ssh-keysign]]
	* chfn chsh mount newgrp umount wall write ({{Pkg\|util-linux}} パッケージ)		* chfn chsh mount newgrp umount wall write ({{Pkg\|util-linux}} パッケージ)