【Linux】NFSでサーバ/クライアントが共通のユーザIDマッピングを持つ重要性

セキュリティ観点でNFSを採用する際はサーバ側とクライアント側で共通のユーザID＆グループIDの体系を持つことが推奨されています。本記事ではそれが満たされていない場合に何が起こるのかについて説明しました。

以下をベースにサーバ/クライアント側で設定済とします。

以下のようにユーザIDが1020のhogeというユーザを/shareのオーナーとします。

$ cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
hoge:x:1020:1020::/home/hoge:/bin/bash

以下で権限を変更すると

# chown hoge:root /share

確かにディレクトリのオーナーがhogeとなりました。

# ls -ld /share/
drwxr-xr-x. 2 hoge root ... /share/

同ディレクトリ内にてファイル作成も可能です。

$ touch a

ユーザIDが1020が存在しない場合は同ディレクトリは以下のように見えます。

# ls -ld /share/
drwxr-xr-x 2 1020 root ... /share/

同ユーザは存在しませんが

$ cat /etc/passwd | grep 1020

同ユーザIDを持つ新規ユーザをfugaとして作成すると

...
fuga:x:1020:1020::/home/fuga:/bin/bash

ファイルのオーナーに新規作成したユーザがなります。

$ ls -ld /share/
drwx------ 2 fuga root ... /share/

$ ls -l /share
total 0
...
-rw------- 1 fuga fuga ... a

上記の場合、fugaユーザでhogeユーザがオーナーとなっているディレクトリやファイルを乗っ取ることができます。

例えばfugaユーザが勝手に権限を外したりつけたりも可能になります。

$ chmod 700 /share/
$ ls -ld /share/
drwx------ 2 fuga root ... /share/

よってNFSで共有しているディレクトリに対しては共通のユーザIDとユーザ番号のマッピングを持つことが求められます。

以上、ご参考になれば幸いです。

(O+P)ut