Что такое обходной путь ptrace_scope для программ Wine и есть ли риски?

ОБНОВЛЕНИЕ Вышеприведенные инструкции:

sudo setcap cap_sys_ptrace=eip /opt/cxoffice/bin/wineserver;
sudo setcap cap_sys_ptrace=eip /opt/cxoffice/bin/wine-preloader;

не работают с 15.09.2008 в Ubuntu 18.04.1 и PlayOnLinux v.4.2. 12 с использованием последней стабильной версии Wine, v.3.0.1. Libcap2 уже установлена.

Сообщение об ошибке в Gnome Terminal выглядит следующим образом:

Failed to set capabilities on file `/usr/bin/wineserver' (Invalid argument)
The value of the capability argument is not permitted for a file. Or the file is not a regular (non-symlink) file

Не уверен, что это значит ..... но думал, что я бы выложил его, чтобы кто-нибудь мог его интерпретировать и, возможно, получить новый , работоспособное решение.

Благодаря.

Короткий ответ: практической опасности пока нет, но читайте дальше, чтобы лучше ...

Что это за штука ptrace ?

это связано с ошибкой в ​​ядре Ubuntu, из-за которой ptrace и WINE не играют хорошо вместе. [ 1118] [тысяча сто сорок-один]

• Нет, защита ptrace - это преднамеренная мера безопасности ядра , впервые введенная в Ubuntu 10.10. Это не ошибка , и поэтому не будет «исправлено».

• Проще говоря, значение ptrace_scope по умолчанию 1 блокирует один процесс от проверки и изменения другого процесса , если второй процесс (дочерний) не был запущен первым процессом (родительским) ). [одна тысяча сто сорок три]

• Это может вызвать проблемы с некоторыми программами в Wine из-за способа, которым wineserver предоставляет «Службы Windows» для этих программ.

Каковы риски при установке ptrace_scope на 0?

• Это восстанавливает старое поведение, когда один процесс может «отслеживать» другой процесс, даже если существует нет родительско-дочерних отношений.

• Теоретически, вредоносная программа может использовать это для нанесения вреда вам / вашему компьютеру; например он может подключаться к Firefox и регистрировать все ваши URL / пароли и т. д. На практике это крайне маловероятно, если вы не слепо устанавливаете двоичные файлы со случайных сайтов и т. д.

• Что касается отладки, настройки 0 фактически необходимы для gdb, strace и т. Д. Для подключения к не дочерним элементам, если вы не запускаете их с повышенными привилегиями (sudo). [ 1147] [тысяча сто тридцать-три]

Каковы проблемы с обходным решением?

• Обходное решение несколько проблематично, потому что ptrace_scope является глобальным значением, и хотя оно установлено на 0, все процессы в вашем Система освобождена от ограничений, не связанных с детьми.
• Если вы используете обходной путь, поместите его в простой сценарий bash, который включает его, запускает программу Windows и затем отключает (устанавливает в 1) при выходе.
  • НЕ делать ptrace_scope доступным для записи в мире (666), как рекомендует пост на форуме - это огромный риск для безопасности, потому что теперь любой процесс может изменить его по своему желанию!

Есть ли лучшее решение?

• Лучшее решение, которое является более безопасным и не требует повторного изменения ptrace_scope должен предоставлять возможности Wineserver ptrace .

  • В терминале:

    sudo apt-get install libcap2-bin 
    sudo setcap cap_sys_ptrace=eip /usr/bin/wineserver
    sudo setcap cap_sys_ptrace=eip /usr/bin/wine-preloader
    

  • Это освобождает двоичные файлы wineserver и preloader вина от не дочернее ограничение ptrace и позволяет им отслеживать любой процесс.

  • Это нужно сделать только один раз, и это безопаснее, потому что эти двоичные файлы обычно поступают из надежного источника - из официальных репозиториев или официального Wine PPA, поэтому они не будут вредоносными.

Если вы используете Crossover

Установите libcap2:

sudo apt-get install libcap2-bin;

Затем добавьте исключение для Crossover:

sudo setcap cap_sys_ptrace=eip /opt/cxoffice/bin/wineserver;
sudo setcap cap_sys_ptrace=eip /opt/cxoffice/bin/wine-preloader;

Наконец, добавьте его библиотеки в ld.so.conf (или вы получите «ошибку при загрузке общих библиотек: libwine.so.1: не удается открыть файл общего объекта: нет такого файла или каталога»):

[ 113]