Sandboxes ohne Rechte (User Namespaces) ausschalten

Warum es wichtig ist

User-Namespaces lassen ein gewöhnliches Programm innerhalb eines privaten Raums als Schein-Administrator auftreten. Das ist für Sandboxes nützlich, stellt aber auch viel privilegierten Kernelcode unprivilegierten Benutzern bereit, und viele lokale Rechteausweitungen haben dort begonnen. Abschalten verkleinert diese Angriffsfläche.

Wie es funktioniert

Setzt user.max_user_namespaces auf 0, also kann niemand neue User-Namespaces anlegen. Programme, die bereits in einem laufen, funktionieren weiter, neue können keins mehr starten.

Für wen es sich eignet

Nur für abgeriegelte Maschinen, auf denen Sie kein Flatpak, keine rootless Container und keinen Sandbox-Browser nutzen. Für die meisten Desktops ist es ein Handel: Diese Sandboxes schützen auch Sie, und sie zu entfernen kann Sie unsicherer machen.

Was Sie bemerken könnten

Flatpak-Apps schlagen mit einem bwrap-Fehler beim Anlegen eines Namespace fehl. Chromium und Firefox melden möglicherweise, dass ihre Sandbox fehlt. Rootless Container und viele AppImages starten nicht mehr.

Auf Ihrem Computer prüfen

Den aktuellen Wert lesen:

sysctl user.max_user_namespaces

Von Hand anwenden

Jetzt setzen (bis zum nächsten Neustart):

sudo sysctl -w user.max_user_namespaces=0

Nach Neustarts beibehalten, in einer eigenen Datei:

sudo tee /etc/sysctl.d/90-kernel-user-namespaces.conf <<'EOF'
user.max_user_namespaces = 0
EOF
sudo sysctl --system

Rückgängig machen

Entfernen Sie die Datei und starten Sie neu, oder setzen Sie den alten Wert mit sysctl -w zurück.

Verwandte Einstellungen

• eBPF auf Administratoren beschränken
• Untersuchen eines Programms durch ein anderes begrenzen

Quellen

Linux Hardening Guide (madaidans)

2.2.1

Linux kernel documentation

user.max_user_namespaces