openPGP в России

Скрипт создания каталога chroot для запуска в нём торбраузера. Используется 64-битная система, для 32-битной требуются изменения, например: lib -> lib64, ld-linux-x86-64.so -> ld-linux.so и т.п. Могут потребоваться и другие модификации, в зависимости от используемой системы Linux, например расположение unix-сокетов и конфигурационных файлов.

Основные моменты
1. Копируется каталог установки ТББ
2. Для исполняемых файлов в нём определяются зависимости и тоже копируются
3. Копируются другие необходимые файлы: шрифты, конфигурационные файлы
4. Для unix-сокетов создаются жёсткие ссылки
5. Создаются файлы устройств
6. Для каталогов устанавливается запрет на чтение (биты доступа 111), кроме шрифтов, /proc и $home. Это затрудняет вредоносную активность при использовании уязвимости торбраузера.

После создания пользователя (в данном примере это tbb)

[code]
useradd -r -m -s /sbin/nologin -b /opt tbb
[/code]

и распаковки в нём ТББ (каталог tor-browser_en-US переименован в tor-browser) запускается скрипт

[code]
#!/bin/bash

# пользователь, домашний каталог, каталог установки ТББ, каталог chroot
user=tbb
home=/opt/$user
installdir=$home/tor-browser
chroot=/var/chroot/torbrowser/$user

# Проверка, что chroot не равен '/' или пустой строке
[ "$chroot" == '/' ] || [ -z "$chroot" ] && { echo "Error: Chroot directory is undefined"; exit 1; } # Создание каталога chroot, если его нет, и переход в него mkdir -pv $chroot chmod 0700 $(dirname $chroot) cd $chroot # Копирование каталога с ТББ в chroot cp --parents --preserve=all -vLr $installdir . # Создание жёстких ссылок из chroot на unix-сокеты X-сервера и dbus Xsocket=/tmp/.X11-unix/X0; dbusocket=/var/run/dbus/system_bus_socket mkdir -pv .$(dirname $Xsocket) .$(dirname $dbusocket) ln -v $Xsocket .$Xsocket ln -v $dbusocket .$dbusocket # Поиск в ТББ всех двоичных исполняемых файлов (ELF), нахождение зависимостей (ldd) и # копирование необходимых динамических библиотек в chroot cp --parents -vL $(ldd $( \ for f in "$(find $chroot$installdir -type f -perm /0111 -exec file {} \; | grep ELF | cut -f1 -d:)"; do echo $f; done) 2>/dev/null | grep '^\s' | cut -f3 -d ' ' | sed '/^\s*$/d; /^[^/]/d' | sort -u) . # Копирование дополнительных файлов и библиотек, необходимых для работы торбраузера cp --parents -vLr /etc/{localtime,fonts,pulse} /usr/share/fonts /var/lib/dbus/machine-id \ /lib64/{ld-linux-x86-64.so*,libnss*.so.*} . # В /etc/{passwd,group} только записи о пользователе, под которым работает торбраузер grep ^$user /etc/passwd > ./etc/passwd grep ^$user /etc/group > ./etc/group # Создание файлов устройств mkdir -pvm 0111 ./dev mknod -m 0666 ./dev/null c 1 3 mknod -m 0644 ./dev/random c 1 8 mknod -m 0644 ./dev/urandom c 1 9 # Каталог для файловой системы proc mkdir -pv ./proc # Запрет просмотра каталогов, кроме /proc и $home find . -type d \( -path ./proc -prune -o -path .$home -prune -o -print \) | xargs chmod a-rw # Разрешение просматривать каталоги со шрифтами find ./usr/share/fonts ./etc/fonts -type d | xargs chmod a+r [/code] Монтирование каталога /proc [code] mount --bind /proc /var/chroot/torbrowser/tbb/proc [/code] Если используется общая X-сессия, нужно разрешить подключение к ней [code] xhost si:localuser:tbb [/code] Запуск торбраузера [code] user=tbb cd /var/chroot/torbrowser/$user env -i DISPLAY=:0.0 HOME=/opt/$user/tor-browser/Browser LD_LIBRARY_PATH=/opt/$user/tor-browser/Browser/TorBrowser/Tor /usr/sbin/chroot --userspec=$user:$user . /opt/$user/tor-browser/Browser/firefox -profile /opt/$user/tor-browser/Browser/TorBrowser/Data/Browser/profile.default" [/code] Для автоматизации запуска удобно создать ярлык $HOME/Desktop/tor-browser.desktop следующего содержания [code] [Desktop Entry] Categories=Network;WebBrowser; Comment=Browse the Web GenericName=Web browser Icon=/tmp/tbb/tor-browser_en-US/Browser/browser/icons/mozicon128.png Name=TorBrowser tbb NoDisplay=true Exec=sudo bash -c "user=tbb; xhost si:localuser:$user; cd /var/chroot/torbrowser/$user; mount | grep $(pwd) || mount --bind /proc ./proc; env -i DISPLAY=:0.0 HOME=/opt/$user/tor-browser/Browser LD_LIBRARY_PATH=/opt/$user/tor-browser/Browser/TorBrowser/Tor /usr/sbin/chroot --userspec=$user:$user . /opt/$user/tor-browser/Browser/firefox -profile /opt/$user/tor-browser/Browser/TorBrowser/Data/Browser/profile.default"
Terminal=true
StartupNotify=true
Type=Application
Version=1.0
[/code]

После этого в настройках указывается нужный прокси-сервер (SOCKS5 127.0.0.1:9050 или HTTP/S 127.0.0.1:8118). chroot-окружение для Tor-демона создаётся аналогично, в Интернете есть примеры, могу выложить свой пример если кто заинтересуется.

Некоторые наблюдения
1. торбраузер не работает без файла /var/lib/dbus/machine-id, содержащего уникальный идентификатор машины.
2. торбраузер работает с HTTPS-сайтами при отсутствующих файлах /dev/{random,urandom} (все файлы устройств оказываются не нужны). Возникает вопрос, откуда он берёт случайность и о её качестве. Например Tor-демон в chroot не работает при отсутствующем /dev/urandom.

Ограничение доступа к файлам из /proc до реально необходимых, позволило бы снизить возможности по идентификации машины.

Работа со звуком и видео не проверялась.

Конструктивные замечания и улучшения приветствуются.