Accueil

CPU_SET
INFINITY
MB_CUR_MAX
MB_LEN_MAX
__setfpucw
_exit
_syscall
a64l
abort
abs
accept
access
acct
acos
acosh
addpart
addseverity
adduser
adjtime
adjtimex
aio_cancel
aio_error
aio_fsync
aio_read
aio_return
aio_suspend
aio_write
alarm
alloc_hugepages
alloca
apropos
arch
arch_prctl
argz_add
armscii-8
arp
ascii
asin
asinh
asprintf
assert
assert_perror
at
atan
atan2
atanh
atd
atexit
atof
atoi
atq
atrm
atrun
backend-spec
backtrace
basename
bash
bashbug
batch
bcmp
bcopy
bdflush
bind
bindresvport
blockdev
boot
bootlogd
bootparam
bosskill
brk
bsd_signal
bsearch
bstring
btowc
btree
builtin
builtins
byteorder
bzero
c
cabs
cacheflush
cacos
cacosh
cal
canonicalize_file_name
capabilities
capget
carg
casin
casinh
catan
catanh
catgets
catopen
cbrt
ccos
ccosh
ceil
cerf
cexp
cexp2
cfree
chage
charmap
charsets
chatise
chdir
chgrp
chmod
chown
chpasswd
chroot
chrt
chsh
cimag
clearenv
clock
clock_getcpuclockid
clock_getres
clock_nanosleep
clog
clog10
clog2
clone
close
closedir
cmp
cmsg
col
complex
confstr
conj
connect
console
console_codes
console_ioctl
consoletype
copysign
core
cos
cosh
cp
cp1251
cpow
cproj
cpuid
cpuset
creal
create_module
createrepo
credentials
cron
crond
crontab
crypt
crypttab
csin
csinh
csqrt
ctan
ctanh
ctermid
ctime
ctluser
ctrlaltdel
daemon
db2dvi
db2html
db2pdf
db2ps
db2rtf
dbopen
dd
ddp
delete_module
delpart
depmod
des_crypt
df
diff
diff3
difftime
dir
dir_colors
dircolors
dirfd
div
dl_iterate_phdr
dlopen
dmesg
docbook2dvi
docbook2html
docbook2man
docbook2man-spec
docbook2pdf
docbook2ps
docbook2rtf
docbook2tex
docbook2texi
docbook2texi-spec
docbook2txt
doexec
domainname
dprintf
drand48
drand48_r
dsp56k
du
dup
dysize
ecvt
ecvt_r
egrep
eject
elf
encrypt
end
endian
environ
envz_add
epoll
epoll_create
epoll_ctl
epoll_wait
erf
erfc
err
errno
error
ether_aton
ethers
euidaccess
eventfd
evim
exec
execve
exit
exit_group
exp
exp10
exp2
expm1
exportfs
exports
fabs
faccessat
faillog
fallocate
fchmodat
fchownat
fclose
fcloseall
fcntl
fd
fdformat
fdim
fdisk
feature_test_macros
fenv
ferror
fexecve
fflush
ffs
fgetgrent
fgetpwent
fgetwc
fgetws
fgrep
fifo
filesystems
finite
flock
flockfile
floor
fma
fmax
fmemopen
fmin
fmod
fmtmsg
fnmatch
fopen
fopencookie
fork
fpathconf
fpclassify
fpurge
fputwc
fputws
fread
free
frexp
frontend-spec
fseek
fseeko
fstab
fstab-decode
fstatat
fsync
ftime
ftok
ftpusers
fts
ftw
full
fuser
futex
futimes
futimesat
fwide
gamma
gcvt
get_kernel_syms
get_mempolicy
get_thread_area
getaddrinfo
getcontext
getcpu
getcwd
getdate
getdents
getdirentries
getdomainname
getdtablesize
getenv
getfsent
getgid
getgrent
getgrent_r
getgrnam
getgrouplist
getgroups
gethostbyname
gethostid
gethostname
getifaddrs
getipnodebyname
getitimer
getkey
getline
getloadavg
getlogin
getmntent
getnameinfo
getnetent
getnetent_r
getopt
getpagesize
getpass
getpeername
getpid
getpriority
getprotoent
getprotoent_r
getpt
getpw
getpwent
getpwent_r
getpwnam
getresuid
getrlimit
getrpcent
getrpcent_r
getrpcport
getrusage
gets
getservent
getservent_r
getsid
getsockname
getsockopt
getsubopt
gettid
gettimeofday
getttyent
getuid
getumask
getusershell
getutent
getutmp
getw
getwchar
getxattr
glob
gnu_get_libc_version
gpasswd
grantpt
grep
group
groupadd
groupdel
groupmod
grpck
grpconv
grpunconv
gshadow
gsignal
gssd
gunzip
guru
gzexe
gzip
halt
hash
hd
hier
host
hostname
hosts
hsearch
hypot
i386
icmp
iconv
iconv_close
iconv_open
idle
idmapd
ifconfig
ilogb
index
inet
inet_ntop
inet_pton
infnan
init
init_module
initgroups
initlog
initrd
initscript
inittab
inotify
inotify_add_watch
inotify_init
inotify_rm_watch
insmod
insque
install
install-catalog
intro
io_cancel
io_destroy
io_getevents
io_setup
io_submit
ioctl
ioctl_list
ioperm
iopl
ioprio_set
ip
ipc
ipcalc
ipcrm
ipcs
ipv6
isalpha
isatty
isgreater
iso_8859-1
iso_8859-10
iso_8859-11
iso_8859-13
iso_8859-14
iso_8859-15
iso_8859-16
iso_8859-2
iso_8859-3
iso_8859-4
iso_8859-5
iso_8859-6
iso_8859-7
iso_8859-8
iso_8859-9
issue
iswalnum
iswalpha
iswblank
iswcntrl
iswctype
iswdigit
iswgraph
iswlower
iswprint
iswpunct
iswspace
iswupper
iswxdigit
j0
jade
jw
key_setsecret
kill
killall
killall5
killpg
koi8-r
koi8-u
last
lastb
lastlog
ld
ldconfig
ldd
ldexp
lgamma
libc
link
linkat
linux32
linux64
listen
listxattr
llseek
ln
locale
localeconv
lockd
lockf
log
log10
log1p
log2
logb
login
longjmp
lookup_dcookie
lp
lrint
lround
ls
lsearch
lseek
lseek64
lsmod
lspci
lsusb
madvise
mailaddr
makecontext
makedev
makewhatis
malloc
malloc_hook
man
man-pages
math_error
matherr
mbind
mblen
mbrlen
mbrtowc
mbsinit
mbsnrtowcs
mbsrtowcs
mbstowcs
mbtowc
mcookie
mdoc
mem
memccpy
memchr
memcmp
memcpy
memfrob
memmem
memmove
mempcpy
memset
mesg
mincore
mkdir
mkdirat
mkdtemp
mkfifo
mkfifoat
mkfs
mknod
mknodat
mkstemp
mkswap
mktemp
mlock
mmap
mmap2
modf
modify_ldt
modifyrepo
modinfo
modprobe
more
motd
mount
mountd
mountpoint
mouse
move_pages
mpool
mprotect
mq_close
mq_getattr
mq_getsetattr
mq_notify
mq_open
mq_overview
mq_receive
mq_send
mq_unlink
mremap
msgctl
msgget
msgop
msr
msync
mtrace
mv
nan
nanosleep
netdevice
netlink
netreport
netstat
networks
newgrp
newusers
nextafter
nfs
nfsd
nfsservctl
nfsstat
nice
nicknames
nisdomainname
nl_langinfo
nmap
nologin
nscd
nsgmls
nsswitch
ntpd
ntpdc
null
numa
offsetof
on_exit
onsgmls
open
openat
opendir
openjade
openpty
operator
osgmlnorm
ospam
ospcat
ospent
osx
outb
package-cleanup
packet
passwd
path_resolution
pause
pciconfig_read
pcilib
perror
personality
pgrep
pidof
pipe
pivot_root
pkill
plipconfig
pmap
poll
popen
posix_fadvise
posix_fallocate
posix_memalign
posix_openpt
posixoptions
pow
pow10
poweroff
ppp-watch
pppoe
pppoe-connect
pppoe-relay
pppoe-server
pppoe-setup
pppoe-sniff
pppoe-start
pppoe-status
pppoe-stop
pppoe-wrapper
prctl
pread
printf
proc
profil
program_invocation_name
protocols
psignal
pstree
pthread_atfork
pthread_attr_destroy
pthread_attr_getdetachstate
pthread_attr_getinheritsched
pthread_attr_getschedparam
pthread_attr_getschedpolicy
pthread_attr_getscope
pthread_attr_init
pthread_attr_setaffinity_np
pthread_attr_setdetachstate
pthread_attr_setguardsize
pthread_attr_setinheritsched
pthread_attr_setschedparam
pthread_attr_setschedpolicy
pthread_attr_setscope
pthread_attr_setstack
pthread_attr_setstackaddr
pthread_attr_setstacksize
pthread_cancel
pthread_cleanup_pop
pthread_cleanup_pop_restore_np
pthread_cleanup_push
pthread_cleanup_push_defer_np
pthread_cond_broadcast
pthread_cond_destroy
pthread_cond_init
pthread_cond_signal
pthread_cond_timedwait
pthread_cond_wait
pthread_condattr_destroy
pthread_condattr_init
pthread_create
pthread_detach
pthread_equal
pthread_exit
pthread_getattr_np
pthread_getcpuclockid
pthread_getschedparam
pthread_getspecific
pthread_join
pthread_key_create
pthread_key_delete
pthread_kill
pthread_kill_other_threads_np
pthread_mutex_destroy
pthread_mutex_init
pthread_mutex_lock
pthread_mutex_trylock
pthread_mutex_unlock
pthread_mutexattr_destroy
pthread_mutexattr_getkind_np
pthread_mutexattr_gettype
pthread_mutexattr_init
pthread_mutexattr_setkind_np
pthread_mutexattr_settype
pthread_once
pthread_self
pthread_setaffinity_np
pthread_setcancelstate
pthread_setcanceltype
pthread_setconcurrency
pthread_setschedparam
pthread_setschedprio
pthread_setspecific
pthread_sigmask
pthread_testcancel
pthread_tryjoin_np
pthread_yield
pthreads
ptrace
pts
ptsname
pty
putenv
putgrent
putpwent
puts
putwchar
pwck
pwconv
pwdx
pwunconv
qecvt
qsort
query_module
queue
quotactl
raise
ram
rand
random
random_r
raw
rbash
rcmd
re_comp
read
readahead
readdir
readlink
readlinkat
readv
realpath
reboot
recno
recv
regex
remainder
remap_file_pages
remove
removexattr
remquo
rename
renameat
renice
repo-rss
repoquery
reposync
resolv
resolver
rev
rewinddir
rexec
rgrep
rint
rm
rmdir
rmmod
round
route
rpc
rpm
rpmatch
rquotad
rtc
rtime
rtld-audit
rtnetlink
runlevel
scalb
scalbln
scandir
scanf
sched_get_priority_max
sched_getcpu
sched_rr_get_interval
sched_setaffinity
sched_setparam
sched_setscheduler
sched_yield
sd
sdiff
securetty
sed
seekdir
select
select_tut
sem_close
sem_destroy
sem_getvalue
sem_init
sem_open
sem_overview
sem_post
sem_unlink
sem_wait
semctl
semget
semop
send
sendfile
service
services
set_mempolicy
set_thread_area
set_tid_address
setaliasent
setarch
setbuf
setenv
seteuid
setfsgid
setfsuid
setgid
setjmp
setlocale
setlogmask
setnetgrent
setpci
setpgid
setresuid
setreuid
setsid
setuid
setup
setxattr
sfdisk
sg
sgetmask
sgmldiff
sgmlnorm
shadow
shells
shm_open
shm_overview
shmctl
shmget
shmop
showmount
shutdown
sigaction
sigaltstack
siginterrupt
signal
signalfd
signbit
significand
sigpause
sigpending
sigprocmask
sigqueue
sigreturn
sigset
sigsetops
sigsuspend
sigvec
sigwait
sigwaitinfo
sin
sincos
sinh
sk98lin
skill
slabinfo
slabtop
slattach
sleep
snice
sockatmark
socket
socketcall
socketpair
spam
spent
splice
spu_create
spu_run
spufs
sqrt
st
standards
stat
statd
statfs
statvfs
stdarg
stdin
stdio
stdio_ext
stime
stpcpy
stpncpy
strcasecmp
strcat
strchr
strcmp
strcoll
strcpy
strdup
strerror
strfmon
strfry
strftime
string
strlen
strnlen
strpbrk
strptime
strsep
strsignal
strspn
strstr
strtod
strtoimax
strtok
strtol
strtoul
strverscmp
strxfrm
suffixes
sulogin
svcgssd
svipc
swab
swapoff
swapon
switchdesk
sx
symlink
symlinkat
sync
sync_file_range
sys-unconfig
syscall
syscalls
sysconf
sysctl
sysfs
sysinfo
syslog
system
sysv_signal
tailf
tan
tanh
tcgetpgrp
tcgetsid
tcp
tee
telinit
telldir
tempnam
termcap
termio
termios
tgamma
time
timegm
timer_create
timer_delete
timer_getoverrun
timer_settime
timeradd
timerfd_create
times
tkill
tkpppoe
tload
tmpfile
tmpnam
toascii
touch
toupper
towctrans
towlower
towupper
trunc
truncate
tsearch
tty
ttyS
tty_ioctl
ttyname
ttyslot
ttytype
tzfile
tzselect
tzset
ualarm
udp
udplite
ulimit
umask
umount
uname
undocumented
ungetwc
unicode
unimplemented
units
unix
unlink
unlinkat
unlocked_stdio
unlockpt
unshare
update-pciids
updwtmp
uptime
uri
uselib
useradd
userdel
usermod
usernetctl
usleep
ustat
utf-8
utime
utimensat
utmp
vcs
vdir
vfork
vhangup
vigr
vim
vimdiff
vimtutor
vipw
vm86
vmsplice
vmstat
volname
w
wait
wait4
wall
watch
wavelan
wcpcpy
wcpncpy
wcrtomb
wcscasecmp
wcscat
wcschr
wcscmp
wcscpy
wcscspn
wcsdup
wcslen
wcsncasecmp
wcsncat
wcsncmp
wcsncpy
wcsnlen
wcsnrtombs
wcspbrk
wcsrchr
wcsrtombs
wcsspn
wcsstr
wcstoimax
wcstok
wcstombs
wcswidth
wctob
wctomb
wctrans
wctype
wcwidth
whatis
whereis
wmemchr
wmemcmp
wmemcpy
wmemmove
wmemset
wordexp
wprintf
write
x25
x86_64
xcrypt
xdr
xxd
y0
ypcat
ypchfn
ypchsh
ypdomainname
ypmatch
yppasswd
yppoll
ypset
yptest
ypwhich
yum
yum-builddep
yum-complete-transaction
yum-shell
yum-updatesd
yum-utils
yum-verify
yumdownloader
zcat
zcmp
zdiff
zdump
zforce
zgrep
zic
zmore
znew

Pages de MAN

CAPABILITIES(7)		  Manuel du programmeur Linux	       CAPABILITIES(7)



NOM
       capabilities - Présentation des capacités Linux

DESCRIPTION
       Pour vérifier les permissions, les implémentations Unix traditionnelles
       distinguent deux catégories de processus :  les	processus  privilégiés
       (dont  l'UID  effectif  est 0, appelé superutilisateur ou root), et les
       processus non privilégiés (dont l'UID effectif est non-nul).  Les  pro-
       cessus  privilégiés  contournent	 les  vérifications  de permissions du
       noyau, alors que	 les  processus	 non-privilégiés  sont	soumis	à  une
       vérification   complète	 basée	 sur   l'identification	 du  processus
       (habituellement : UID effectif, GID effectif, et liste des groupes).

       À partir du noyau 2.2, Linux propose un mécanisme (encore incomplet) de
       capacités,  qui	scinde	les  privilèges traditionnellement associés au
       superutilisateur en unités distinctes que l'on peut activer ou  inhiber
       individuellement.

   Liste des capacités
       La  liste suivante indique les capacités implémentées sous Linux et les
       opérations ou comportements que chaque capacité permet :

       CAP_AUDIT_CONTROL (depuis Linux 2.6.11)
	      Activer et désactiver l'audit du noyau ; changer les  règles  de
	      filtrage d'audit ; accéder à l'état de l'audit, et aux règles de
	      filtrage.

       CAP_AUDIT_WRITE (depuis Linux 2.6.11)
	      Écrire des enregistrements dans le journal d'audit du noyau.

       CAP_CHOWN
	      Effectuer toute modification des UID et GID  de  fichiers	 (voir
	      chown(2)).

       CAP_DAC_OVERRIDE
	      Contourne	 les  permissions  de  lecture, écriture et exécution.
	      (DAC est	l'abréviation  de  « discretionary  access  control »,
	      contrôle d'accès à volonté).

       CAP_DAC_READ_SEARCH
	      Contourne	 les  permissions  de lecture de fichiers et celles de
	      lecture et exécution des répertoires.

       CAP_FOWNER
	      * Contourne les vérifications pour les opérations qui  demandent
		que le FS-UID du processus corresponde à l'UID du fichier (par
		exemple chmod(2), utime(2)), à l'exclusion des opérations cou-
		vertes par CAP_DAC_OVERRIDE et CAP_DAC_READ_SEARCH ;
	      * positionner  les attributs de fichier étendus (voir chattr(1))
		pour n'importe quel fichier ;
	      * positionner les listes de contrôle d'accès ACL	(Ndt :	Access
		Control Lists) pour n'importe quel fichier ;
	      * ignorer le bit sticky des répertoires pour les suppressions de
		fichier ;
	      * spécifier O_NOATIME dans open(2) et  fcntl(2)  pour  n'importe
		quel fichier.

       CAP_FSETID
	      Ne  pas  effacer les bits de permission Set-UID et Set-GID quand
	      un fichier est modifié ;	positionner  le	 bit  Set-GID  sur  un
	      fichier  dont  le	 GID  ne  correspond  à aucun GID du processus
	      appelant.

       CAP_IPC_LOCK
	      Verrouiller des pages mémoire (mlock(2),	mlockall(2),  mmap(2),
	      shmctl(2)).

       CAP_IPC_OWNER
	      Contourne les vérifications pour les opérations sur les IPC Sys-
	      tem V.

       CAP_KILL
	      Contourne les vérifications pour	l'émission  de	signaux	 (voir
	      kill(2)). Cela inclut l'utilisation de l'ioctl(2) KDSIGACCEPT.

       CAP_LEASE (depuis Linux 2.4)
	      Demander des baux sur n'importe quel fichier (voir fcntl(2)).

       CAP_LINUX_IMMUTABLE
	      Positionner    les    attributs	 d'inoeuds   FS_APPEND_FL   et
	      FS_IMMUTABLE_FL (voir chattr(1)).

       CAP_MAC_ADMIN (depuis Linux 2.6.25)
	      Surcharger les contrôles d'accès MAC  (« Mandatory  Access  Con-
	      trol »).	Implémentée  pour le module de sécurité (LSM : « Linux
	      Security Module ») Smack.

       CAP_MAC_OVERRIDE (depuis Linux 2.6.25)
	      Permettre les modifications de la	 configuration	ou  des	 états
	      MAC. Implémentée pour le LSM Smack.

       CAP_MKNOD (depuis Linux 2.4)
	      Créer des fichiers spéciaux avec mknod(2).

       CAP_NET_ADMIN
	      Effectuer différentes opérations réseau (par exemple obtenir des
	      options privilégiées sur les sockets, activer le multicast, con-
	      figurer les interfaces, modifier les tables de routage).

       CAP_NET_BIND_SERVICE
	      Attacher	une  socket  sur  un  port  privilégié (numéro de port
	      inférieur à 1024).

       CAP_NET_BROADCAST
	      (Inutilisé) Broadcastet et écouter en multicast avec  des	 sock-
	      ets.

       CAP_NET_RAW
	      Utiliser des sockets RAW et PACKET.

       CAP_SETGID
	      Effectuer toute manipulation des GID du processus et de la liste
	      de groupes supplémentaires, utiliser de faux GID sur les	socket
	      Unix.

       CAP_SETFCAP (depuis Linux 2.6.24)
	      Définir des capacités de fichier

       CAP_SETPCAP
	      Si les capacités de fichier sont prises en charge : autoriser ou
	      interdire toute capacité dans l'ensemble des capacité permises à
	      l'appelant vers ou depuis tout autre processus. (Cette propriété
	      de CAP_SETPCAP n'est pas disponible quand le noyau est configuré
	      pour  prendre  en	 charge	 les  capacité	de  fichiers,  puisque
	      CAP_SETPCAP a une toute autre sémantique pour ces noyaux)

	      Si les capacitésde fichier sont prises en charge : ajouter toute
	      capacité	de  l'ensemble	de  limitation	de capacités du thread
	      appelant à son ensemble  hérité ;	 supprimer  les	 capacités  de
	      l'ensemble  de  limitation  de capacités (avec prctl(2) PR_CAPB-
	      SET_DROP) ; modifier l'attribut securebits.

       CAP_SETUID
	      Effectuer toute manipulation des UID  de	processus  (setuid(2),
	      setreuid(2),  setresuid(2),  setfsuid(2)) ;  transmettre un faux
	      UID sur une socket dans le domaine Unix.

       CAP_SYS_ADMIN
	      * Effectuer certaines opération  d'administration	 comme :  quo-
		tactl(2), mount(2), umount(2), swapon(2), swapoff(2), sethost-
		name(2) et setdomainname(2) ;
	      * effectuer des opérations IPC_SET  et  IPC_RMID	sur  n'importe
		quel objet IPC System V ;
	      * effectuer  des opérations sur les attributs étendus trusted et
		security (voir attr(5)) ;
	      * utiliser lookup_dcookie(2) ;
	      * utiliser ioprio_set(2) pour  configurer	 une  classe  d'ordon-
		nancement    IOPRIO_CLASS_RT	(avant	  Linux	  2.6.25)   et
		IOPRIO_CLASS_IDLE ;
	      * forger	des  identifiant  d'utilisateur	 lors  du  passage  de
		références de sockets ;
	      * dépasser /proc/sys/fs/file-max, la limite système du nombre de
		fichiers ouverts, dans les appels  systèmes  qui  ouvrent  des
		fichiers   (c'est-à-dire   accept(2),  execve(2),  open(2)  et
		pipe(2)) ;
	      * utiliser l'attribut CLONE_NEWNS avec clone(2) et unshare(2) ;
	      * effectuer des opérations keyctl(2) KEYCTL_CHOWN et KEYCTL_SET-
		PERM.

       CAP_SYS_BOOT
	      Utiliser reboot(2) et kexec_load(2).

       CAP_SYS_CHROOT
	      Utiliser chroot(2).

       CAP_SYS_MODULE
	      Charger  ou  décharger des modules noyau (voir init_module(2) et
	      delete_module(2)) ;  dans	 les  noyaux  antérieurs  à   2.6.25 :
	      enlever  des  capacités  de  l'ensemble système de limitation de
	      capacités.

       CAP_SYS_NICE
	      * Augmenter la valeur de courtoisie (« nice ») (nice(2), setpri-
		ority(2))  et  changer la courtoisie de n'importe quel proces-
		sus ;
	      * utiliser des  ordonnancements  temps-réel  pour	 le  processus
		appelant,  et la modification de l'ordonnancement de n'importe
		quel processus (sched_setscheduler(2), sched_setparam(2)) ;
	      * définir	 l'affinité  CPU   pour	  n'importe   quel   processus
		(sched_setaffinity(2)) ;
	      * fixer la classe et la priorité d'ordonnancement d'entrées/sor-
		ties pour n'importe quel processus (ioprio_set(2)) ;
	      * appliquer  migrate_pages(2)  à	n'importe  quel	 processus  et
		migrer un processus vers n'importe quel noeud ;
	      * appliquer move_pages(2) pour n'importe quel processus ;
	      * utiliser   l'attribut	MPOL_MF_MOVE_ALL   avec	  mbind(2)  et
		move_pages(2).

       CAP_SYS_PACCT
	      Utiliser acct(2).

       CAP_SYS_PTRACE
	      Suivre n'importe quel processus avec ptrace(2)

       CAP_SYS_RAWIO
	      Effectuer des  opérations	 d'entrées-sorties  (iopl(2)  et  iop-
	      erm(2)) ; accéder à /proc/kcore.

       CAP_SYS_RESOURCE
	      * Utiliser  de  l'espace	réservé	 sur  des systèmes de fichiers
		ext2 ;
	      * effectuer des appels ioctl(2) pour controller  la  journalisa-
		tion ext3 ;
	      * ne  pas	 tenir	compte	des  limites  définies	par  les quota
		disque ;
	      * augmenter les limites de ressources (voir setrlimit(2)) ;
	      * ne pas tenir compte de la limite de ressource RLIMIT_NPROC ;
	      * augmenter la limite msg_qbytes pour la queue de messages  Sys-
		tem V  au  dessus  de  la limite /proc/sys/kernel/msgmnb (voir
		msgop(2) et msgctl(2)).

       CAP_SYS_TIME
	      Modifier	l'heure	 système  (settimeofday(2),   stime(2),	  adj-
	      timex(2)); modifier l'horloge temps-réel (matérielle).

       CAP_SYS_TTY_CONFIG
	      Utiliser vhangup(2).

   Implémentations passées et actuelles
       Une implémentation complète des capacités nécessite que :

       1. Pour	toutes	les opérations privilégiées, le noyau doit vérifier si
	  le thread a la capacité requise dans son ensemble effectif ;

       2. Le noyau doit fournir des appels système permettant  de  changer  et
	  récupérer les ensembles de capacités d'un thread.

       3. Le  système  de fichiers doit permettre d'attacher des capacités aux
	  fichiers exécutables, pour  qu'un  processus	en  dispose  quand  le
	  fichier est exécuté.

       Sous  Linux  2.6.14,  seules  les  deux	premières  clauses  sont  rem-
       plies.Avant le noyau 2.6.24, seules les deux premières  exigences  sont
       remplies ; depuis le noyau 2.6.24, ces trois exigences sont remplies.

   Ensembles de capacités des threads
       Chaque  thread  a  trois ensembles contenant zéro ou plus des capacités
       ci-dessus :

       Permises :
	      Il s'agit d'un sur-ensemble limitant  les	 capacités  effectives
	      que  le  thread  peut prendre. Il limite également les capacités
	      qui peuvent être ajoutées à l'ensemble héritable par  un	thread
	      qui  n'a pas la capacité CAP_SETPCAP dans son ensemble effectif.

	      Si un  processus	supprime  une  capacité	 de  son  ensemble  de
	      capacités	 permises,  il	ne peut plus jamais la récupérer (sauf
	      s'il appelle execve(2) sur un programme Set-UID root ou un  pro-
	      gramme  dont les capacités associées au fichier permettent cette
	      capacité).

       Héritable :
	      Il s'agit d'un ensemble de capacités préservées au travers  d'un
	      execve(2).  Il fournit à un processus un mécanisme pour assigner
	      des capacités à l'ensemble des  capacités	 permises  du  nouveau
	      programme lors d'un execve(2).

       Effectif :
	      Il  s'agit  de  l'ensemble  des capacités utilisées par le noyau
	      pour vérifier les permissions du thread.

       Un fils créé par fork(2) hérite d'une copie des ensembles  de  capacité
       de son père. Le traitement des capacités lors d'un execve(2) est décrit
       plus bas.

       En utilisant capset(2), un thread peut manipuler ses propres  ensembles
       de capacités (voir ci-dessous).

   Capacités de fichier
       Depuis le noyau 2.6.24, le noyau prend en charge l'association d'ensem-
       bles de capacités avec un fichier exécutable à l'aide de setcap(8). Les
       ensembles  de capacités du fichier sont stockés dans un attribut étendu
       (voir setxattr(2)) appelé security.capability. Écrire dans cet attribut
       étendu  nécessite  la  capacité CAP_SETFCAP. Les ensembles de capacités
       d'un fichier, combinés avec les ensembles de capacités du thread déter-
       minent les capacités d'un thread après un execve(2).

       Les trois ensembles de capacités de fichier sont :

       Permises (anciennement forcées) :
	      Ces  capacités  sont automatiquement permises au thread, quelles
	      que soient ses capacités héritables.

       Héritables (anciennement autorisées) :
	      Cet ensemble est combiné par un ET avec l'ensemble héritable  du
	      thread pour savoir quelles capacités de l'ensemble des capacités
	      permises sont permises pour le thread après l'appel à execve(2).

       Effectif :
	      Il  ne s'agit pas d'un ensemble, mais plutôt d'un unique bit. Si
	      le bit est positionné, alors, lors d'un  execve(2),  toutes  les
	      nouvelles capacités permises pour le thread sont également posi-
	      tionnées dans l'ensemble effectif. Si ce	bit  n'est  pas	 posi-
	      tionné,	alors,	 après	un  execve(2),	aucune	des  nouvelles
	      capacités permises ne se trouvera dans le nouvel ensemble effec-
	      tif.

	      Activer  le  bit	des capacités effectives d'un fichier implique
	      que toute capacité de fichier permise ou héritable qui permet  à
	      un  thread  d'obtenir les capacité permises correspondantes lors
	      d'un execve(2)  (voir  les  règles  de  transformation  décrites
	      ci-dessous) fournira également cette capacité dans l'ensemble de
	      capacités effectives  du	thread.	 Ainsi,	 lors  de  l'ajout  de
	      capacités	   à	un    fichier	(setcap(8),   cap_set_file(3),
	      cap_set_fd(3)), si le bit effectif pour une  des	capacités  est
	      activé,  alors  le  bit effectif doit également être activé pour
	      toutes les capacités dont le bit permis ou héritable corresppon-
	      dant est activé.

   Transformation des capacités lors d'un appel execve()
       Durant  un  execve(2), le noyau calcule les nouvelles capacités du pro-
       cessus en utilisant l'algorithme suivant :

	   P'(permises) = (P(héritables) & F(héritables) |
			  (F(permises) & cap_bset)

	   P'(effectives) = F(effectives) ? P'(permises) : 0

	   P'(héritables) = P(héritables)    [inchangé]

       où :

	   P	     indique la valeur d'un ensemble de	 capacités  du	thread
		     avant le execve(2)

	   P'	     indique  la  valeur  d'un	ensemble de capacités après le
		     execve(2)

	   F	     indique la valeur d'un ensemble de capacités du fichier

	   cap_bset  est la valeur  de	la  limitation	de  capacités  (décrit
		     ci-dessous).

   Capacités et exécution de programmes par root
       Pour  fournir  un  root	tout  puissant	en  utilisant les ensembles de
       capacités, lors d'un execve(2) :

       1. Si on exécute un programme Set-UID root, ou si l'UID réel  est  nul,
	  alors	 les ensembles des capacités héritables et permises du fichier
	  sont remplis de uns (toutes les capacités activées).

       2. Si un programme Set-UID root est exécuté, alors le bit des capacités
	  effectives du fichier est défini à 1 (activé).

       L'effet	des  règles  ci-dessus	combinées  avec les transformations de
       capacités ci-dessus, est que lorsqu'un processus lance (avec execve(2))
       un  programme  Set-UID  root, ou lorsqu'un processus d'UID effectif nul
       exécute un programme, il obtient toutes les capacités dans  ses	ensem-
       bles  de	 capacités permises et effectives, sauf celles qui sont inter-
       dites par la limitation de capacités. Ceci fournit une sémantique iden-
       tique à celle fournie par les systèmes Unix traditionnels.

   Limitation des capacités
       La limitation des capacités (« capability bounding set ») est un mécan-
       isme de sécurité qui peut être utilisé pour limiter les	capacités  qui
       peuvent	être  obtenues lors d'un execve(2). La limitation de capacités
       est utilisée de cette façon :

       * Lors d'un execve(2), la  limitation  de  capacités  (un  ensemble  de
	 capacités)  est  combinée  avec  un  ET  binaire  avec l'ensemble des
	 capacités autorisées du fichier, et le résultat  de  cette  opération
	 est placé dans l'ensemble des capacités autorisées du thread. La lim-
	 itation de capacités permet donc de limiter  les  capacités  permises
	 qui peuvent être accordées à un fichier exécutable.

       * (Depuis  Linux 2.6.25)	 La  limitation	 de  capacités	agit  comme un
	 sur-ensemble limitant les capacités qu'un thread peut ajouter	à  son
	 ensemble  de capacités héritables en utilisant capset(2). Ceci signi-
	 fie que si une capacité ne se trouve pas dans l'ensemble  de  limita-
	 tion  des  capacités,	alors un thread ne peut ajouter cette capacité
	 dans son ensemble de capacités héritables, même si elle  se  trouvait
	 dans  son  ensemble  de  capacités permises, et ne peut donc pas con-
	 server	 cette	capacité  dans	son  ensemble  de  capacités  permises
	 lorsqu'il exécute avec execve(2) un fichier qui a cette capacité dans
	 son ensemble de capacités héritables.

       Notez que la limitation de capacités masque les capacités  permises  du
       fichier,	 mais  pas  les	 capacités héritées. Si un thread conserve une
       capacité dans son ensemble de capacités héritées et que cette  capacité
       ne  se trouve pas dans l'ensemble de limitation des capacités, alors il
       peut toujours obtenir cette capacité dans  son  ensemble	 de  capacités
       permises en exécutant un fichier qui a la capacité dans son ensemble de
       capacités héritées.

       Suivant la version du noyau, la limitation de capacités est un attribut
       au niveau du système ou un attribut par processus.

       Limitation de capacités avant Linux 2.6.25

       Dans  les noyaux antérieurs à 2.6.25, la limitation de capacités est un
       attribut au niveau du système qui affecte tous les threads. La  limita-
       tion   de  capacités  est  accessible  par  le  fichier	/proc/sys/ker-
       nel/cap-bound. (Le masque de bits est exprimé comme un  nombre  décimal
       signé   dans   /proc/sys/kernel/cap-bound,   ce	 qui   entretient  les
       confusions).

       Seul le processus init peut configurer des capacité dans l'ensemble  de
       limitation    de	  capacités ;	sinon,	 le   superutilisateur	 (plus
       précisément : les programmes  avec  la  capacité	 CAP_SYS_MODULE)  peut
       uniquement supprimer des capacités de cet ensemble.

       Sur  un	système	 standard,  la limitation élimine toujours la capacité
       CAP_SETPCAP. Pour supprimer cette restriction  (attention,  c'est  dan-
       gereux !),    modifiez	la   définition	  de   CAP_INIT_EFF_SET	  dans
       include/linux/capability.h et recompilez le noyau.

       La limitation de capacités système a été ajoutée à Linux	 à  partir  du
       noyau 2.2.11.

       Limitation de capacités après Linux 2.6.25

       Depuis  Linux  2.6.25,  la  limitation de capacités est un attribut par
       thread (il n'y a plus désormais de limitation de capacités au niveau du
       système).

       La  limitation  est héritée du parent du thread au travers d'un fork(2)
       et est préservé au travers d'un execve(2).

       Un thread peut enlever des capacités de son ensemble de	limitation  de
       capacités  en utilisant l'opération PR_CAPBSET_DROP de prctl(2), à con-
       dition qu'il possède la capacité CAP_SETPCAP. Une fois qu'une  capacité
       a  été  supprimée de l'ensemble de limitation, elle ne peut être y être
       remise. Un thread peut déterminer si une capacité est dans son ensemble
       de  limitation de capacités en utilisant l'opération PR_CAPBSET_READ de
       prctl(2).

       La suppression de capacités dans l'ensemble de limitation des capacités
       n'est  prise  en	 charge que si les capacités de fichiers sont compilés
       dans le noyau (CONFIG_SECURITY_FILE_CAPABILITIES). Dans ce cas, le pro-
       cessus  init  démarre avec ensemble plein à l'exception de CAP_SETPCAP,
       parce que cette capacité a une autre signification quand il n'y	a  pas
       de capacités de fichier.

       Supprimer une capacité de la limitation de capacités ne la supprime pas
       de l'ensemble hérité d'un thread. Cependant il empêche de  rajouter  la
       capacité dans l'ensemble hérité du thread par la suite.

   Effet des modifications d'UID sur les capacités
       Afin  de	 préserver  la	sémantique traditionnelle pour les transitions
       entre des UID nul et  non  nul,	le  noyau  modifie  les	 ensembles  de
       capacités  d'un	thread	de la façon suivante lors de modifications des
       UID réel, effectif, sauvé et du système de  fichiers  (avec  setuid(2),
       setresuid(2) et compagnie) :

       1. Si l'UID réel, effectif ou sauvé était égal à 0, et qu'à la suite de
	  la modification ils sont tous non nuls, toutes  les  capacités  sont
	  supprimés des ensembles de capacités permises et effectives.

       2. Si l'UID effectif était nul et devient non nul, toutes les capacités
	  sont supprimées de l'ensemble effectif.

       3. Si l'UID effectif est modifié d'une valeur non nulle à 0, l'ensemble
	  des  capacités  permises  est	 copié	dans  l'ensemble des capacités
	  effectives.

       4. Si le fsuid est modifié de 0 à une  valeur  non  nulle  (voir	 setf-
	  suid(2)),  les  capacités  suivantes	sont  supprimées de l'ensemble
	  effectif :   CAP_CHOWN,    CAP_DAC_OVERRIDE,	  CAP_DAC_READ_SEARCH,
	  CAP_FOWNER,  CAP_FSETID,  CAP_LINUX_IMMUTABLE (depuis Linux 2.2.30),
	  CAP_MAC_OVERRIDE et CAP_MKNOD (depuis	 Linux 2.2.30).	 Si  le	 fsuid
	  devient  nul,	 chacune  de ces capacités est activée dans l'ensemble
	  des capacités effectives si elle faisait partie  de  l'ensemble  des
	  capacités permises.

       Si  un  thread dont l'un des UID vaut 0 ne veut pas que son ensemble de
       capacités permises soit vidé lorsqu'il fixe tous ses UID à des  valeurs
       non  nulles,  il	 peut  le  faire  avec	l'opération PR_SET_KEEPCAPS de
       l'appel système prctl(2).

   Ajuster les ensembles de capacités par programmation
       Un thread peut obtenir ou modifier ses ensembles de capacités en	 util-
       isant  les  appels  système  capget(2) et capset(2). Cependant, il faut
       leur préférer  l'utilisation  de	 cap_get_proc(3)  et  cap_set_proc(3),
       toutes deux fournies par le paquet libcap. Les règles suivantes gouver-
       nent les modifications des ensembles de capacités d'un thread :

       1. Si l'appelant n'a pas la capacité CAP_SETPCAP,  le  nouvel  ensemble
	  des  capacités  héritables doit être un sous-ensemble de l'union des
	  ensembles de capacités héritables et des capacités permises.

       2. (Depuis le noyau 2.6.25) Le nouvel ensemble héritable doit  être  un
	  sous-ensemble	 de  l'ensemble héritable existant et de l'ensemble de
	  limitation de capacités.

       3. Le nouvel ensemble des capacités permises doit être un sous-ensemble
	  de  l'ensemble  des  capacités permises existant (c'est-à-dire qu'il
	  n'est pas possible d'obtenir des capacités permises  que  le	thread
	  n'a pas actuellement).

       4. Le  nouvel  ensemble	effectif  doit être un sous-ensemble du nouvel
	  ensemble des capacités permises.

   Les attributs « securebits » : configuration d'un  environnement  restreint
       aux capacités de fichiers.
       A  partir  du noyau 2.6.26, si les capacités de fichiers sont activées,
       Linux implémente un ensemble d'attributs securebits par thread qui peu-
       vent   être  utilisés  pour  désactiver	la  gestion  particulière  des
       capacités pour l'UID 0 (root). Ces attributs sont les suivants :

       SECURE_KEEP_CAPS
	      Activer cet attribut permet à un thread qui a un UID  (ou	 plus)
	      égal  à  0 de conserver ses capacités quand il change ses UID et
	      que plus aucun n'est nul. Si cet attribut est  désactivé,	 alors
	      ces  changements	d'UID  feront  perdre  au  thread  toutes  ses
	      capacités.  Cet  attribut	 est  toujours	désactivé  lors	  d'un
	      execve(2).  Cet  attribut	 fournit  la  même  fonctionnalité que
	      l'ancienne opération PR_SET_KEEPCAPS de prctl(2)).

       SECURE_NO_SETUID_FIXUP
	      Activer  cet  attribut  stoppe  l'ajustement  des	 ensemble   de
	      capacités	 par le noyau lorsque les UID effectifs et d'accès aux
	      fichiers du thread passent d'une valeur nulle à une  valeur  non
	      nulle.  (Consultez la sous-section Effet des modifications d'UID
	      sur les capacités.)

       SECURE_NOROOT
	      Si cet attribut est activé, alors le noyau  n'autorise  pas  les
	      capacités	 lorsqu'un  programme  Set-UID	root  est  exécuté  ou
	      lorsqu'un processus dont l'identifiant effectif ou réel est  nul
	      appelle  execve(2).  (Consultez  la  sous-section	 Capacités  et
	      exécution de programmes par root.)

       Chacun des attributs de base ci-dessus a un attribut compagnon de  ver-
       rouillage.  L'activation d'un attribut de verrouillage est irréversible
       et permet d'éviter toute modification ultérieure de l'attribut de base.
       Les   attributs	 de   verrouillage   sont :   SECURE_KEEP_CAPS_LOCKED,
       SECURE_NO_SETUID_FIXUP_LOCKED et SECURE_NOROOT_LOCKED.

       Les attributs securebits peuvent être modifiés et  récupérés  en	 util-
       isant   les   opérations	  PR_SET_SECUREBITS  et	 PR_GET_SECUREBITS  de
       prctl(2). La capacité CAP_SETPCAP  est  nécessaire  pour	 modifier  ces
       attributs.

       Les attributs securebits sont hérités par les processus fils. Lors d'un
       execve(2),  tous	 les  attributs	 sont  conservés,  à  l'exception   de
       SECURE_KEEP_CAPS qui est désactivé.

       Une  application	 peut  utiliser	 l'appel  suivant  pour se verrouiller
       elle-même, ainsi que tous ses descendant, dans un environnement	où  la
       seule  façon  d'obtenir	des capacités est d'exécuter un programme avec
       les capacités de fichiers correspondantes :

	   prctl(PR_SET_SECUREBITS,
		   1 << SECURE_KEEP_CAPS_LOCKED |
		   1 << SECURE_NO_SETUID_FIXUP |
		   1 << SECURE_NO_SETUID_FIXUP_LOCKED |
		   1 << SECURE_NOROOT |
		   1 << SECURE_NOROOT_LOCKED);

CONFORMITÉ
       Il n'y a pas de véritable norme pour les capacités, mais	 l'implémenta-
       tion  Linux  est	 basé  sur  une	 interprétation	 de la norme (retirée)
       POSIX.1e ; voir http://wt.xpilot.org/publications/posix.1e/.

NOTES
       Depuis le noyau 2.5.27, les capacités sont optionnelles dans  le	 noyau
       et  peuvent être activées ou désactivées avec l'option de configuration
       CONFIG_SECURITY_CAPABILITIES du noyau.

       Le fichier /proc/PID/task/TID/status peut être utilisé  pour  voir  les
       ensembles de capacités d'un thread. Le fichier /proc/PID/status indique
       les ensembles de capacités du thread principal d'un thread.

       Le paquet libcap fournit un ensemble de routines pour  écrire  et  lire
       les capacités d'un processus, de manière plus simple et moins suscepti-
       ble de changer que l'interface fournie par capset(2) et	capget(2).  Ce
       paquet fournit également les programmes setcap(8) et getcap(8). Il peut
       être trouvé à l'adresse :
       http://www.kernel.org/pub/linux/libs/security/linux-privs.

       Avant le noyau 2.6.24, et depuis le noyau 2.6.24 si  les	 capacités  de
       fichier	ne  sont  pas activées, un thread avec la capacité CAP_SETPCAP
       peut manipuler les capacités des autres threads.	 Cependant,  ce	 n'est
       possible	 qu'en théorie puisqu'aucun thread n'a la capacité CAP_SETPCAP
       dans un des cas suivants :

       * Dans l'implémentation antérieure au noyau 2.6.25, l'ensemble de limi-
	 tation	 de  capacités	du système, /proc/sys/kernel/cap-bound, masque
	 toujours cette capacité et ceci ne peut pas être changé sans modifier
	 les sources du noyau et le recompiler.

       * Si  les  capacités de fichiers sont désactivées dans l'implémentation
	 actuelle, alors init démarre sans cette capacité dans	l'ensemble  de
	 limitation  de	 capacité de son processus, et cet ensemble de limita-
	 tion de capacité est hérité par  tous	les  processus	créés  sur  le
	 système.

VOIR AUSSI
       capget(2),   prctl(2),	setfsuid(2),   cap_clear(3),  cap_copy_ext(3),
       cap_from_text(3),   cap_get_file(3),   cap_get_proc(3),	  cap_init(3),
       capgetp(3),  capsetp(3),	 credentials(7),  pthreads(7), getcap(8), set-
       cap(8)

       include/linux/capability.h dans les sources du noyau

COLOPHON
       Cette page fait partie de  la  publication  3.23	 du  projet  man-pages
       Linux.  Une description du projet et des instructions pour signaler des
       anomalies  peuvent  être	 trouvées  à  l'adresse	  .

TRADUCTION
       Depuis  2010,  cette  traduction est maintenue à l'aide de l'outil po4a
        par l'équipe de traduction franco-
       phone	     au		sein	     du		projet	      perkamon
       .

       Christophe Blaess    (1996-2003),
       Alain   Portal  	 (2003-2006).	Julien
       Cristau et l'équipe francophone de traduction de Debian (2006-2009).

       Veuillez signaler toute erreur de  traduction  en  écrivant  à  .

       Vous  pouvez  toujours avoir accès à la version anglaise de ce document
       en utilisant la commande « LC_ALL=C man 
». Linux 3 août 2009 CAPABILITIES(7)

 


www.eurower.info