Frage 101-173

Die Option user impliziert die drei weiteren Optionen nodev, nosuid und noexec (Antwort 3).

nodev bewirkt, dass Gerätedateien auf dem eingehängten Dateisystem ignoriert werden -- das verhindert, dass clevere Cracker ein Dateisystem einhängen, das eine Gerätedatei à la /dev/kmem (zeichenorientiertes Gerät mit Gerätenummer (1, 2)) einschleppt, auf die sie mit ihrer lokalen Identität schreiben können. So eine Datei läßt sich auf einem anderen Rechner, wo man root ist, leicht auf einer Diskette oder einem USB-Stick anlegen und erlaubt es jemandem, der sich mit Linux-Interna auskennt, etwa die Benutzerkennung der eigenen Login-Shell auf root zu setzen; eine gravierende Sicherheitslücke.

nosuid sorgt dafür, dass die SUID- bzw. SGID-Bits auf Programmen im eingehängten Dateisystem ignoriert werden. Das hindert clevere Cracker daran, ausführbare Programme einzuschleppen, die SUID root sind und anschließend eine Shell starten.

noexec bewirkt, dass überhaupt keine ausführbaren Programme von dem Medium gestartet werden. Ein Cracker muss ein ausführbares Programm also erst in ein Dateisystem umkopieren, wo er tatsächlich Programme starten darf, und dabei wird sichergestellt, dass es hinterher ihm gehört und allfällige SUID- bzw. SGID-Bits gelöscht sind. Bis vor nicht allzulanger Zeit war es übrigens möglich, trotz noexec Programme von einem entsprechenden Dateisystem zu starten, indem man sie direkt über den dynamischen Lader (ld-linux.so) aufrief; diese Lücke ist aber inzwischen gestopft.

Wenn Sie ein Dateisystem per user (oder users) freigeben, können Sie alle diese Optionen wieder in Kraft setzen, indem Sie das entsprechende »positive« Gegenteil in der Optionsliste nach dem user erwähnen, etwa wie user,exec. Sie tun das natürlich auf eigene Gefahr.