chroot 内的 openssl

Question

当我尝试从 chroot 监狱内部建立 ssl 连接时，出现以下错误：

twisted.internet.error.ConnectionLost: Connection to the other side was lost in a non-clean fashion.

我正在使用 openssl 0.9.6 和 pyopenssl 来建立 ssl 连接，并且我正在使用用于 python 2.4 的twisted python 库Linux（centos 5.5）。

经过一些故障排除后，我发现 openssl 失败是因为它试图读取 /dev/random 文件，而失败是因为 chroot 中没有 /dev/random 。我已经确认，如果我在 chroot 中创建 /dev/random 文件，连接就会成功。

• 我考虑过安装 devfs 文件系统，其中包含我的 chroot 中的 /dev/random 文件，但我的应用程序及其系统管理员有一个坏习惯，即删除 chroot 的根目录而不首先卸载所有内容。
• 我考虑过在执行 chroot 之前从 /dev/random 文件中读取内容，但我当前的设置是在二进制文件启动之前调用 chroot，并且更改 chroot 发生的位置将对应用程序进行太大的更改我不确定何时或如何完成它。
• 我想过在 chroot 监狱外运行一个程序，该程序仅从 /dev/random 读取并写入名为 /jail/dev/random 的命名文件管道，可以从 chroot 监狱内部访问它，但我不喜欢这样做运行一个单独的进程只是为了访问随机源。而且，仅仅初始化 openssl 似乎过于复杂。

如果我无法从程序中访问 /dev/random ，初始化 openssl 的正确方法是什么？

Answer 1

您可以为 openssl 伪造随机数，例如命令行 openssl：

[root@quilt /]# openssl s_client -h
usage: s_client args
...
 -rand file:file:...
...

无论如何 openssl 需要随机源，没有随机数它就不可能安全，例如来自维基百科：

为了生成用于安全连接的会话密钥，
客户端使用服务器的公钥加密随机数，并且
将结果发送到服务器。只有服务器应该能够
使用私钥对其进行解密。

如果没有随机源，SSL/TLS 很容易被黑客攻击。

如果您担心 chroot/dev/ 会被删除，为什么不只创建 chroot/dev/random 或 chroot/dev/urandom安装整个开发？

[root@quilt /]# mknod /dev/random c 1 8
[root@quilt /]# mknod /dev/urandom c 1 9

哦，顺便说一句，您还想复制系统 /etc/resolv.conf 以及可能的其他主机、服务、以太坊等...

Answer 2

创建 urandom 和 random 后不要忘记 SELinux

cat /var/log/messages | grep“SELinux 正在阻止”

SELinux is preventing /usr/sbin/php-fpm from read access on the chr_file urandom.

If you believe that php-fpm should be allowed read access on the urandom chr_file by default.
Then you should report this as a bug.
You can generate a local policy module to allow this access.
Do allow this access for now by executing:

ausearch -c 'php-fpm' --raw

audit2allow -M my-phpfpm

semodule -i my-phpfpm.pp

Answer 3

也许更好的方法是按如下所示绑定挂载设备文件：

# touch chroot/dev/random
# mount --bind /dev/random chroot/dev/random

urandom 也是如此。