>на фоне вот этого
Повтори это на grsec-ядре.

Как на счёт дефолтного Debian ядра?

Если сервисы понижают свои привилегии после chroot, сбежать таким образом они не смогут.

Бывают уязвимости, с которыми теоретически можно получить рута. Поэтому и grsec.

Ты прям америку открыл. Естественно, из chroot'а можно выйти. В freebsd есть «продвинутый chroot» под названием jail, из него выйти нельзя.

Как выйти из chroot`a на ядре с патчами grsecurity?

grsecurity нигде не используется, поэтому будем считать, что его нет

После FreeBSD Jail всё кажется ведром ;)

chmod нужен ли?

запирать рута в chroot - все равно что запирать в тюрьму зека с полным набором инструментов, т.е. смысла никакого.

Ставил все сетевые сервисы под chroot, в том числе sendmail.

При очередном эксплойте на всем извемстный BIND, не стал его апдейтить. Напрягся и начал чаще парсить логи. Через пару недель проатаковали, BIND упал без каких либо последствий.
С довольным лицом выслушал обеденные жалобы пользователей и проапдейтил BIND.

Смотря ведь для чего использовать. Если просто отградить одно окружение от другого и нет опасности что кто-то будет пытаться джеибрейкнуть - то сойдет, иначе используй виртуализацию.

>под названием jail, из него выйти нельзя.
ну конечно

Просто используй jail(8). Это сильно переработанный chroot(8).

Проблема в том, что выход из chroot'а - фича, а гипотетический выход из jail - баг.

в Линуксе есть аналог jail - называется OpenVZ

а напрямую сравнивать jail и chroot некорректно

> grsecurity нигде не используется, поэтому будем считать, что его нет
hardened gentoo

Просто chroot изначально не задумывался как средство для безопасного огораживания.
Про openvz уже выше сказали.

Whilst chroot() is reasonably secure, a program can escape from its trap. So long as a program is run with root (ie UID 0) privilages it can be used to break out of a chroot()ed area. For a user to do this, they would need access to:

* C compiler or a Perl interpreter * Security holes to gain root access

Ещё одна веская причина не держать демонов запущенными от рута. У меня это либо специфический демон (apache например) либо nobody.

Created: 2002-05-12
Last changed: 2002-05-12

Что само по себе намекает.

ничего себе чрут :) джейл это практически виртуализация