Detalii actuale¶

Acum că ați fost avertizați, câteva detalii despre nucleul curent. Structurile sunt definite după cum urmează.

#define _LINUX_CAPABILITY_VERSION_1  0x19980330
#define _LINUX_CAPABILITY_U32S_1     1


        /* V2 adăugată în Linux 2.6.25; depreciată */
#define _LINUX_CAPABILITY_VERSION_2  0x20071026
#define _LINUX_CAPABILITY_U32S_2     2


        /* V3 adăugată în Linux 2.6.26 */
#define _LINUX_CAPABILITY_VERSION_3  0x20080522
#define _LINUX_CAPABILITY_U32S_3     2
typedef struct __user_cap_header_struct {


   __u32 version;


   int pid;
} *cap_user_header_t;
typedef struct __user_cap_data_struct {


   __u32 effective;


   __u32 permitted;


   __u32 inheritable;
} *cap_user_data_t;

Câmpurile effective, permitted și inheritable sunt măști de biți ale capacităților definite în capabilities(7). Rețineți că valorile CAP_* sunt indexuri de biți și trebuie să fie deplasate înainte de a fi adăugate în câmpurile de biți. Pentru a defini structurile care trebuie transmise apelului de sistem, trebuie să utilizați numele struct __user_cap_header_struct și struct __user_cap_data_struct deoarece typedefs sunt doar indicatori.

Nucleele anterioare Linux 2.6.25 preferă capacitățile pe 32 de biți cu versiunea _LINUX_CAPABILITY_VERSION_1. Linux 2.6.25 a adăugat seturi de capacități pe 64 de biți, cu versiunea _LINUX_CAPABILITY_VERSION_2. A existat, totuși, o eroare API, iar Linux 2.6.26 a adăugat _LINUX_CAPABILITY_VERSION_3 pentru a rezolva problema.

Rețineți că capacitățile pe 64 de biți utilizează datap[0] și datap[1], în timp ce capacitățile pe 32 de biți utilizează numai datap[0].

Pe nucleele care oferă suport pentru capacitățile fișierelor (suport pentru capacitățile VFS), aceste apeluri de sistem se comportă ușor diferit. Acest suport a fost adăugat ca opțiune în Linux 2.6.24 și a devenit fix (neopțional) în Linux 2.6.33.

Pentru apelurile capget(), se pot sonda capacitățile oricărui proces prin specificarea ID-ului acestuia cu valoarea câmpului hdrp->pid.

Pentru detalii privind datele, consultați capabilities(7).

Cu suport pentru capacitățile VFS¶

Capacitățile VFS utilizează un atribut extins de fișier (a se vedea xattr(7)) pentru a permite atașarea capacităților la executabile. Acest model de privilegii elimină suportul nucleului pentru stabilirea asincronă de către un proces a capacităților altuia. Adică, pe nucleele care acceptă capacitățile VFS, atunci când se apelează capset(), singurele valori permise pentru hdrp->pid sunt 0 sau, echivalent, valoarea returnată de gettid(2).

Fără suport pentru capacitățile VFS¶

În cazul nucleelor mai vechi care nu oferă suport pentru capacitățile VFS, capset() poate fi utilizat, dacă apelantul are capacitatea CAP_SETPCAP, pentru a modifica nu numai capacitățile apelantului, ci și capacitățile altor fire. Apelul operează asupra capacităților firului specificat de câmpul pid din hdrp atunci când acesta este diferit de zero, sau asupra capacităților firului apelant dacă pid este 0. Dacă pid se referă la un proces cu un singur fir, atunci pid poate fi specificat ca un ID de proces tradițional; operarea asupra unui fir al unui proces cu mai multe fire necesită un ID de fir de tipul celui returnat de gettid(2). Pentru capset(), pid poate fi de asemenea: -1, ceea ce înseamnă efectuarea modificării pe toate firele de execuție, cu excepția apelantului și a lui init(1); sau o valoare mai mică decât -1, caz în care modificarea se aplică tuturor membrilor grupului de procese al cărui ID este -pid.