chroot

chroot steht für change root und ist eine Funktion unter Unix-Systemen, um das Rootverzeichnis zu ändern. Sie wirkt sich nur auf den aktuellen Prozess und seine Kindprozesse aus. „chroot“ selbst kann sich sowohl auf den Systemaufruf chroot(2) als auch auf das Dienstprogramm chroot(8) beziehen.

Ein Programm, das auf ein Verzeichnis „gerootet“ wurde und keine offenen Dateideskriptoren im Bereich außerhalb des virtuellen Root-Verzeichnisses besitzt, kann (bei korrekter Implementierung des Betriebssystemkerns) nicht mehr auf Dateien außerhalb dieses Verzeichnisses zugreifen. chroot bietet somit eine einfache Möglichkeit, um nicht vertrauenswürdige, Test- oder sonst wie gefährliche Programme in eine Sandbox zu versetzen. Es ist ein einfacher Jail-Mechanismus, aus dem aber durchaus leicht wieder ausgebrochen werden kann.

chroot wurde nicht als Sicherheitsfeature entworfen, sondern primär für das Aufsetzen virtueller Umgebungen verwendet. Die erste größere bekannte Anwendung war in Network Software Engineering (NSE) auf SunOS im Jahr 1986. Dort war ein Verlassen der Umgebung mit fchroot(1) möglich und dokumentiert.

In der Praxis wird „Chrooting“ dadurch erschwert, dass Programme beim Start erwarten, Platz für temporäre Dateien, Konfigurationsdateien, Gerätedateien und Programmbibliotheken an bestimmten festen Orten vorzufinden. Um diese Programme innerhalb des chroot-Verzeichnisses laufen zu lassen, muss das Verzeichnis mit diesen notwendigen Dateien ausgestattet werden.

Sicherheitsfeature oder nicht?

Ob chroot-Umgebungen ein Sicherheitsfeature sind, um einzelne Computerprogramme gegenüber dem Gesamtrechner abzuschotten, hängt stark von der Ansicht der Schöpfer des jeweiligen Betriebssystems ab:

Unix

• BSD-Systeme versuchen Prozesse der chroot(2)-Umgebung nicht herauszulassen, also einzusperren. Ein erstes Aufkommen eines weitgefassten Begriffs "jail" ("Gefängnis") in diesem Sinn ist seit 1991 mit Bezug auf die Unix-Distribution 4.3BSD belegt. Zum Beispiel ist eine Rechteausweitung aus chroot(8) heraus unter NetBSD sehr schwierig.
• Geschichtlich bieten BSD-Systeme seit dem Jahr 2000 Virtualisierung auf Betriebssystems-Ebene, bei der der Kernel von mehreren isolierten, rundum abgeschlossenen Einheiten ("user space" Instanzen, Umgebungen) benutzt wird. Vorreiter war die FreeBSD-Distribution, welche mit ihrer Version 4.0 (2000) das Unix-Kommando jail(8) bereitstellte, um Prozess-Umgebungen sicher voneinander abzuschotten. Hieraus folgte bis zum Jahr 2004 die Prägung des Begriffs "jailbreak".
• In Solaris wurde chroot vor Solaris 10 nicht als Sicherheitsfeature bezeichnet und deshalb auch kein Problem darin gesehen, wenn sich ein Programm aus dieser Umgebung „befreien“ kann. Das Ausbrechen ist sogar explizit dokumentiert. Um Prozesse gegeneinander abzuschotten, gibt es seit dem Jahr 2005 mit Solaris 10 das Konzept der Solaris Container (auch: Zonen), das auf chroot(2) aufbaut und als "chroot on steroids" bezeichnet wurde. In Solaris 10 und späteren Versionen wurden jedoch viele weitere Eigenschaften hinzugefügt und auch Dateisysteme (wie das proc-Filesystem) explizit gegen chroot gesichert.

Linux

• Auch unter Linux wird chroot nicht als Sicherheitsfeature bezeichnet. Wie der Benutzer root eine chroot-Umgebung verlassen kann, ist in der chroot(2)-Manpage dokumentiert.
• Ab dem Jahr 2008 können mithilfe der LinuX Container LXC virtuelle "user space" Umgebungen mit eigenen Prozessen erschaffen werden, die einen gemeinsamen Linux-Kernel nutzen. Auf LXC baut die GNU/Linux-Software Docker (2013) auf, die Anwendungen mithilfe von Betriebssystemvirtualisierung in Containern isoliert.

Einsatz

Nachteile

Nur der Benutzer root kann chroot ausführen. Dies soll normale Benutzer davon abhalten, ein setuid-Programm innerhalb einer speziell angefertigten Chroot-Umgebung zu platzieren (z. B. mit einer falschen /etc/passwd Datei), welche es dazu bringen würde, Rechte zu vergeben. Es hindert jedoch auch Nicht-Root-Benutzer an der Verwendung des chroot-Mechanismus, um eine eigene Sandbox zu erstellen.

„schroot“ erlaubt Nutzern ein chroot, „openroot“ stellt viele erweiterte Funktionen zur Verfügung wie etwa X11 Forwarding für GUI-Programme.

Der chroot-Mechanismus selbst ist nicht gänzlich sicher. Wenn ein Programm in einer chroot-Umgebung Root-Rechte besitzt, kann es (unter Linux oder Solaris) eine verschachtelte chroot-Umgebung verwenden, um aus der ersten auszubrechen.

Da die meisten Unix-Systeme nicht komplett dateisystemorientiert sind, bleiben potenziell gefährliche Funktionalitäten wie die Kontrolle über Netzwerk und Prozesse durch Systemaufrufe einem gechrooteten Programm verfügbar.

Der chroot-Mechanismus selbst verhängt auch keine Einschränkungen über Ressourcen wie I/O-Bandbreite, Plattenplatz oder CPU-Zeit.

Siehe auch

• OpenVZ – Eine Virtualisierungslösung, die ähnlich wie chroot arbeitet, aber besser abschottet

Weblinks

Linux

• chroot(8): einen Befehl oder eine interaktive Shell mit einem speziellen Wurzelverzeichnis ausführen – Debian GNU/Linux Systemverwaltung Handbuchseite
• chroot(2): Wurzelverzeichnis wechseln – Debian GNU/Linux Systemaufrufe Handbuchseite
• xchroot: chroot für Benutzer von Xorg/X11 und aufs/unionfs

Unix

• jail(8): Management von System-Jails – FreeBSD Systemverwaltung Handbuchseite
• jail(2): Erzeugung und Management von System-Jails – FreeBSD Systemaufruf Handbuchseite
• chroot(8): Wurzelverzeichnis wechseln – OpenBSD System Manager's Manual – (Systemverwaltung)
• chroot(2): Wurzelverzeichnis wechseln – OpenBSD System Calls Manual – (Systemaufruf)

Einzelnachweise

1. Bill Cheswick: An Evening with Berferd: In Which a Cracker is Lured, Endured, and Studied. USENIX. In: The Association (Hrsg.): USENIX Summer Conference Proceedings, Volume 1. San Francisco, California 1991, S. 163 ( [PDF]). 
2. (Memento vom 10. Dezember 2008 im Internet Archive)
3. Die Nummer in Klammern hinter dem Namen des Unix-Kommandos folgt der Einteilung in sogenannte Manpage-Sections ("Bereiche"), diese sind: (1) Generelle Kommandos, (2) Systemaufrufe, (3) Subroutinen, (4) Spezialdateien, (5) Dateiformate, (6) Spiele, (7) Makros und Konventionen, (8) Wartungskommandos, (9) Kernelschnittstelle, (n) Neue Kommandos.
4. Matteo Riondato: FreeBSD Handbook Chapter 15 Jails. In: freebsd.org. The FreeBSD Project, abgerufen am 19. August 2014. 
5. Cyrus Peikar: Security Warrior. Hrsg.: O'Reilly Media. 2004, ISBN 978-0-596-55239-8, S. 304 (google.de [abgerufen am 19. August 2014]). 
6. Klaus Schmidt: High Availability and Disaster Recovery: Concepts, Design, Implementation. Hrsg.: Springer Science & Business Media. 2006, ISBN 978-3-540-34582-4, S. 186 (google.de [abgerufen am 21. August 2014]). 
7. vgl. dazu chroot(1m), chroot(2), fchroot(2) und gchroot(1); abgerufen am 10. April 2014
8. SourceForge LXC Download Files. In: sourceforge.net. Abgerufen am 21. August 2014. 
9. Rami Rosen: Linux Containers and the Future Cloud. (PDF) 26. März 2014, abgerufen am 21. August 2014. 
10. (Nicht mehr online verfügbar.) Docker Inc., archiviert vom Original am 18. Juli 2014; abgerufen am 6. September 2014. 
11. (Nicht mehr online verfügbar.) CenturyLink Innovations Lab, archiviert vom Original am 10. September 2014; abgerufen am 9. September 2014. 
12. (Memento vom 22. Dezember 2014 im Internet Archive)
13. (Memento vom 27. Januar 2016 im Internet Archive)
14. (Memento vom 17. April 2009 im Internet Archive)

Unix-Befehle der GNU Core Utilities

Dateien	chgrp | chown | chmod | cp | dd | df | dir | dircolors | install | ln | ls | mkdir | mkfifo | mknod | mv | rm | rmdir | shred | sync | touch | vdir
Text	awk | cat | cksum | comm | csplit | cut | expand | fmt | fold | head | join | md5sum | nl | od | paste | ptx | pr | sha1sum | sed | sort | split | sum | tac | tail | tr | tsort | unexpand | uniq | wc
Shell	basename | chroot | date | dirname | du | echo | env | expr | factor | false | groups | hostid | id | link | logname | nice | nohup | pathchk | pinky | printenv | printf | pwd | readlink | seq | sleep | stat | stty | tee | test | true | tty | uname | unlink | users | who | whoami | yes