Linux Capabilities 權能機制深度解析：打破 Root 全權架構，構建最小權限安全體系

傳統 Unix「Root 全權、普通用戶零權」的二元權限模型，導致任何需特權操作的程序（如綁定 1024 以下端口、讀取影子文件、載入內核模組）都必須以 Root 運行，極大擴大了攻擊面。Linux 2.2+ 引入 POSIX.1e Capabilities (權能)，將 Root 權限拆解為 30+ 獨立權能，實現細粒度最小權限授權。本文系統解析 Capabilities 概念、內核實現、完整權能清單、實戰應用與安全加固策略。

核心概念：三個位圖集合

每個進程擁有三組 64 位位圖（定義於 include/linux/sched.h 的 task_struct）：

• Effective (E)：cap_effective —— 當前生效、內核權檢查依據的權能集。E ⊆ P
• Permitted (P)：cap_permitted —— 進程擁有的最大權能上限，可動態向 E 添加/移除。
• Inheritable (I)：cap_inheritable —— execve() 後子進程可繼承的權能集。

權檢邏輯：內核不再檢查 euid == 0，而是檢查 cap_effective[CAP_X] 對應位是否為 1。例如綁定特權端口檢查 CAP_NET_BIND_SERVICE (bit 10)。

完整權能清單 (Linux 2.4.7-10 內核基準，共 28 項)

現代內核 (5.x+) 已擴展至 40+ 權能，如 CAP_BPF、CAP_PERFMON、CAP_CHECKPOINT_RESTORE 等。

實戰：給非 Root 程序賦予最小權能

案例 1：Nginx 綁定 80/443 端口無需 Root

# 方法一：setcap 賦予二進位文件
setcap 'cap_net_bind_service=+ep' /usr/local/nginx/sbin/nginx
# 驗證
getcap /usr/local/nginx/sbin/nginx
# 輸出：/usr/local/nginx/sbin/nginx = cap_net_bind_service+ep

# 方法二：systemd 服務單元 (推薦，更安全)
# /etc/systemd/system/nginx.service
[Service]
CapabilityBoundingSet=CAP_NET_BIND_SERVICE
AmbientCapabilities=CAP_NET_BIND_SERVICE
User=nginx
Group=nginx

案例 2：Ping 無需 setuid root

setcap 'cap_net_raw=+ep' /usr/bin/ping
# 移除 setuid 位
chmod u-s /usr/bin/ping

案例 3：容器運行時移除危險權能

# Docker 運行時移除
docker run --cap-drop=ALL --cap-add=NET_BIND_SERVICE --cap-add=CHOWN myimage

# Kubernetes Pod 安全上下文
securityContext:
  capabilities:
    drop: ["ALL"]
    add: ["NET_BIND_SERVICE", "CHOWN"]

進階：權能邊界集與環境變量

• Bounding Set：進程及其子孫能擁有的權能天花板，prctl(PR_CAPBSET_DROP, CAP_X) 可不可逆移除（需重啟恢復）。
• Ambient Capabilities：Linux 4.3+ 引入，解決 setcap 文件在 execve 後權能丟失問題，配合 systemd 實現無 setuid、無文件屬性的權能傳遞。
• Securebits：控制 setuid/setgid/execve 時權能集變換規則，SECURE_NOROOT 禁止 Root 進程自動獲得全權能。

安全審計與檢測

# 掃描所有帶有文件權能的可執行文件
getcap -r / 2>/dev/null

# 檢查進程當前權能
cat /proc/$(pidof nginx)/status | grep -i cap
# CapPrm: 0000000000000400  (CAP_NET_BIND_SERVICE)
# CapEff: 0000000000000400

# 審計腳本：發現異常權能賦予
#!/bin/bash
for f in $(getcap -r / 2>/dev/null | cut -d: -f1); do
    caps=$(getcap $f | cut -d= -f2)
    if [[ $caps =~ (SYS_ADMIN|SYS_MODULE|DAC_OVERRIDE|SYS_RAWIO) ]]; then
        echo "HIGH RISK: $f -> $caps"
    fi
done

總結

Capabilities 是 Linux 從「全有或全無」向「最小權限」演進的關鍵一步。運維與開發人員應：

1. 盡可能移除 setuid/setgid 程序，改用文件權能或 systemd AmbientCapabilities。
2. 容器、K8s 必須显式 drop: [ALL] 並按需 add。
3. 定期掃描文件權能與進程權能，清理過度授權。
4. 理解 Bounding Set、Securebits、Ambient 三大機制交互，避免權能提升漏洞。

掌握 Capabilities，讓每個服務只擁有「剛好夠用」的權力，是構建纵深防御、降低 Root 提權風險的核心技能。