Capacita<?>i(7)        Miscellaneous Information Manual        Capacita<?>i(7)

NUME
       capacita<?>i - prezentare generala a capacita<?>ilor Linux

DESCRIERE
       In scopul efectuarii verificarii permisiunilor, implementarile
       tradi<?>ionale UNIX disting doua categorii de procese: procese
       privilegiate (al caror ID utilizator efectiv este 0, denumit
       superutilizator sau root) <?>i procese neprivilegiate (al caror UID
       efectiv este diferit de zero). Procesele privilegiate ocolesc toate
       verificarile de permisiuni ale nucleului, in timp ce procesele
       neprivilegiate sunt supuse unei verificari complete a permisiunilor pe
       baza acreditarilor procesului (de obicei: UID efectiv, GID efectiv <?>i
       lista suplimentara de grupuri).

       Incepand cu Linux 2.2, Linux imparte privilegiile asociate in mod
       tradi<?>ional cu superutilizatorul in unita<?>i distincte, cunoscute
       sub numele de capabilities(capacita<?>i), care pot fi activate <?>i
       dezactivate independent. Capacita<?>ile sunt un atribut per-fir de
       execu<?>ie.

   Lista capacita<?>ilor
       Urmatoarea lista prezinta capacita<?>ile implementate pe Linux <?>i
       opera<?>iile sau comportamentele pe care le permite fiecare capacitate:

       CAP_AUDIT_CONTROL (incepand cu Linux 2.6.11)
              Activeaza <?>i dezactiveaza auditarea nucleului; modifica
              regulile de filtrare a auditarii; recupereaza starea auditarii
              <?>i regulile de filtrare.

       CAP_AUDIT_READ (incepand cu Linux 3.16)
              Permite citirea jurnalului de auditare prin intermediul unui
              soclu multicast netlink.

       CAP_AUDIT_WRITE (incepand cu Linux 2.6.11)
              Scrie inregistrari in jurnalul de auditare al nucleului.

       CAP_BLOCK_SUSPEND (incepand cu Linux 3.5)
              Utilizeaza caracteristici care pot bloca suspendarea sistemului
              (epoll(7) EPOLLWAKEUP, /proc/sys/wake_lock).

       CAP_BPF (incepand cu Linux 5.8)
              Utilizeaza opera<?>ii BPF privilegiate; a se vedea bpf(2) <?>i
              bpf-helpers(7).

              Aceasta capacitate a fost adaugata in Linux 5.8 pentru a separa
              func<?>ionalitatea BPF de capacitatea supraincarcata
              CAP_SYS_ADMIN.

       CAP_CHECKPOINT_RESTORE (incepand cu Linux 5.9)
              o  Actualizeaza /proc/sys/kernel/ns_last_pid (a se vedea
                 pid_namespaces(7));
              o  utilizeaza func<?>ia set_tid din clone3(2);
              o  cite<?>te con<?>inutul legaturilor simbolice din
                 /proc/pid/map_files pentru alte procese.

              Aceasta capacitate a fost adaugata in Linux 5.9 pentru a separa
              func<?>ionalitatea punct de control/restaurare de capacitatea
              supraincarcata CAP_SYS_ADMIN.

       CAP_CHOWN
              Efectueaza modificari arbitrare ale UID-urilor <?>i GID-urilor
              fi<?>ierelor (consulta<?>i chown(2)).

       CAP_DAC_OVERRIDE
              Ocole<?>te verificarea permisiunilor de citire, scriere <?>i
              executare a fi<?>ierelor. (DAC este o abreviere de la
              ,,discretionary access control" - control discre<?>ionar al
              accesului).

       CAP_DAC_READ_SEARCH
              o  Ocole<?>te verificarea permisiunilor de citire a fi<?>ierelor
                 <?>i verificarea permisiunilor de citire <?>i executare a
                 directoarelor;
              o  invoca open_by_handle_at(2);
              o  utilizeaza fanionul linkat(2) AT_EMPTY_PATH pentru a crea o
                 legatura catre un fi<?>ier la care se face referire printr-un
                 descriptor de fi<?>ier.

       CAP_FOWNER
              o  Ocole<?>te verificarile permisiunilor pentru opera<?>iile
                 care, in mod normal, necesita ca UID-ul sistemului de
                 fi<?>iere al procesului sa coincida cu UID-ul fi<?>ierului
                 (de exemplu, chmod(2), utime(2)), excluzand acele opera<?>ii
                 acoperite de CAP_DAC_OVERRIDE <?>i CAP_DAC_READ_SEARCH;
              o  define<?>te fanioanele de nod-i (a se vedea
                 FS_IOC_SETFLAGS(2const)) pe fi<?>iere arbitrare;
              o  configureaza listele de control al accesului (ACL) pe
                 fi<?>iere arbitrare;
              o  ignora bitul lipicios al directorului la <?>tergerea
                 fi<?>ierului;
              o  modifica atributele extinse ale utilizatorului pe directorul
                 lipicios de<?>inut de orice utilizator;
              o  specifica O_NOATIME pentru fi<?>iere arbitrare in open(2)
                 <?>i fcntl(2).

       CAP_FSETID
              o  Nu <?>terge bi<?>ii de mod set-user-ID <?>i set-group-ID
                 atunci cand un fi<?>ier este modificat;
              o  activeaza bitul set-group-ID pentru un fi<?>ier al carui GID
                 nu corespunde sistemului de fi<?>iere sau niciunuia dintre
                 GID-urile suplimentare ale procesului apelant.

       CAP_IPC_LOCK
              o  Blocheaza memoria (mlock(2), mlockall(2), mmap(2),
                 shmctl(2));
              o  Aloca memorie folosind pagini enorme (memfd_create(2),
                 mmap(2), shmctl(2)).

       CAP_IPC_OWNER
              Ocole<?>te verificarile permisiunilor pentru opera<?>iile asupra
              obiectelor IPC System V.

       CAP_KILL
              Ocole<?>te verificarile permisiunilor pentru trimiterea
              semnalelor (consulta<?>i kill(2)). Aceasta include utilizarea
              opera<?>iei ioctl(2) KDSIGACCEPT.

       CAP_LEASE (incepand cu Linux 2.4)
              Stabile<?>te inchirieri(leases) pe fi<?>iere arbitrare
              (consulta<?>i fcntl(2)).

       CAP_LINUX_IMMUTABLE
              Define<?>te fanioanele de nod-i FS_APPEND_FL <?>i
              FS_IMMUTABLE_FL (a se vedea FS_IOC_SETFLAGS(2const)).

       CAP_MAC_ADMIN (incepand cu Linux 2.6.25)
              Permite modificarea configura<?>iei sau a starii MAC.
              Implementata pentru Smack Linux Security Module (LSM).

       CAP_MAC_OVERRIDE (incepand cu Linux 2.6.25)
              Suprascrie controlul accesului obligatoriu (MAC).  Implementata
              pentru Smack LSM.

       CAP_MKNOD (incepand cu Linux 2.4)
              Creeaza fi<?>iere speciale utilizand mknod(2).

       CAP_NET_ADMIN
              Efectueaza diverse opera<?>ii legate de re<?>ea:
              o  configurarea interfe<?>ei;
              o  administrarea de firewall IP, mascare <?>i contorizare;
              o  modifica tabelele de direc<?>ionare;
              o  sa se conecteze la orice adresa pentru proxing transparent;
              o  stabile<?>te tipul de serviciu (TOS);
              o  <?>terge statisticile controlorului;
              o  define<?>te modul promiscuu;
              o  activeaza modul de multidifuzare(multicasting);
              o  utilizeaza setsockopt(2) pentru a defini urmatoarele
                 op<?>iuni de soclu: SO_DEBUG, SO_MARK, SO_PRIORITY (pentru o
                 prioritate in afara intervalului 0-6), SO_RCVBUFFORCE <?>i
                 SO_SNDBUFFORCE.

       CAP_NET_BIND_SERVICE
              Asociaza un soclu la porturile privilegiate ale domeniului
              Internet (numere de porturi mai mici de 1024).

       CAP_NET_BROADCAST
              (Nefolosita) Efectueaza difuzari (broadcasts) de soclu <?>i
              asculta ,,multicasts".

       CAP_NET_RAW
              o  Utilizeaza socluri RAW <?>i PACKET;
              o  sa se conecteze la orice adresa pentru proxing transparent.

       CAP_PERFMON (incepand cu Linux 5.8)
              Utilizeaza diverse mecanisme de monitorizare a performan<?>ei,
              inclusiv:

              o  apelul perf_event_open(2);
              o  utilizeaza diverse opera<?>ii BPF care au implica<?>ii asupra
                 performan<?>ei.

              Aceasta capacitate a fost adaugata in Linux 5.8 pentru a separa
              func<?>ionalitatea de monitorizare a performan<?>ei de
              capacitatea supraincarcata CAP_SYS_ADMIN. Consulta<?>i <?>i
              fi<?>ierul sursa al nucleului
              Documentation/admin-guide/perf-security.rst.

       CAP_SETGID
              o  Efectueaza manipulari arbitrare ale GID-urilor de proces <?>i
                 ale listei suplimentare de GID-uri;
              o  falsifica GID atunci cand paseaza acreditarile soclului prin
                 intermediul soclurilor de domeniu UNIX;
              o  scrie o coresponden<?>a ID de grup intr-un spa<?>iu de nume
                 al utilizatorului [a se vedea user_namespaces(7)].

       CAP_SETFCAP (incepand cu Linux 2.6.24)
              Define<?>te capacita<?>i arbitrare pe un fi<?>ier.

              Incepand cu Linux 5.12, aceasta capacitate este de asemenea
              necesara pentru cartografierea ID-ului utilizatorului 0 intr-un
              nou spa<?>iu de nume al utilizatorului; pentru detalii,
              consulta<?>i user_namespaces(7).

       CAP_SETPCAP
              In cazul in care sunt acceptate capacita<?>ile de fi<?>ier (de
              exemplu, incepand cu Linux 2.6.24): adauga orice capacitate din
              setul limitator al firului apelant la setul sau mo<?>tenit;
              renun<?>a la capacita<?>ile din setul limitator (prin prctl(2)
              PR_CAPBSET_DROP); efectueaza modificari ale fanioanelor
              securebits.

              In cazul in care capacita<?>ile de fi<?>ier nu sunt acceptate
              (de exemplu, inainte de Linux 2.6.24): acorda sau elimina orice
              capacitate din setul de capacita<?>i permise ale apelantului
              catre sau de la orice alt proces; (aceasta proprietate a
              CAP_SETPCAP nu este disponibila atunci cand nucleul este
              configurat pentru a oferi suport capacita<?>ilor de fi<?>ier,
              deoarece CAP_SETPCAP are o semantica complet diferita pentru
              astfel de nuclee).

       CAP_SETUID
              o  Efectueaza manipulari arbitrare ale UID-urilor proceselor
                 (setuid(2), setreuid(2), setresuid(2), setfsuid(2));
              o  falsifica UID atunci cand paseaza acreditarile soclului prin
                 intermediul soclurilor de domeniu UNIX;
              o  scrie o coresponden<?>a ID utilizator intr-un spa<?>iu de
                 nume utilizator [a se vedea user_namespaces(7)].

       CAP_SYS_ADMIN
              Nota: aceasta capacitate este supraincarcata; a se vedea mai jos
              sec<?>iunea Note pentru dezvoltatorii nucleului.

              o  Efectueaza o serie de opera<?>ii de administrare a
                 sistemului, inclusiv: quotactl(2), mount(2), umount(2),
                 pivot_root(2), swapon(2), swapoff(2), sethostname(2) <?>i
                 setdomainname(2);
              o  efectueaza opera<?>ii privilegiate syslog(2) (incepand cu
                 Linux 2.6.37, CAP_SYSLOG trebuie sa fie utilizata pentru a
                 permite astfel de opera<?>ii);
              o  executa comanda VM86_REQUEST_IRQ vm86(2);
              o  acceseaza aceea<?>i func<?>ionalitate de punct de
                 control/restaurare care este reglementata de
                 CAP_CHECKPOINT_RESTORE (dar pentru accesarea acestei
                 func<?>ionalita<?>i este preferata aceasta din urma
                 capacitate, mai slaba).
              o  efectueaza acelea<?>i opera<?>ii BPF ca <?>i cele
                 reglementate de CAP_BPF (dar aceasta din urma capacitate, mai
                 slaba, este preferata pentru accesarea func<?>ionalita<?>ii
                 respective).
              o  utilizeaza acelea<?>i mecanisme de monitorizare a
                 performan<?>elor ca <?>i cele reglementate de CAP_PERFMON
                 (dar pentru accesarea acestei func<?>ionalita<?>i se prefera
                 aceasta din urma capacitate, mai slaba).
              o  efectueaza opera<?>ii IPC_SET <?>i IPC_RMID pe obiecte IPC
                 System V arbitrare;
              o  suprascrie limita resurselor RLIMIT_NPROC;
              o  efectueaza opera<?>ii asupra atributelor extinse trusted <?>i
                 security [a se vedea xattr(7)];
              o  utilizeaza lookup_dcookie(2);
              o  utilizeaza ioprio_set(2) pentru a atribui clasele de
                 planificare I/O IOPRIO_CLASS_RT <?>i (inainte de Linux
                 2.6.25) IOPRIO_CLASS_IDLE;
              o  falsifica PID atunci cand paseaza acreditarile soclului prin
                 intermediul soclurilor de domeniu UNIX;
              o  depa<?>e<?>te /proc/sys/fs/file-max, limita la nivel de
                 sistem a numarului de fi<?>iere deschise, in apelurile
                 sistemului care deschid fi<?>iere (de exemplu, accept(2),
                 execve(2), open(2), pipe(2));
              o  utilizeaza fanioanele CLONE_* care creeaza noi spa<?>ii de
                 nume cu clone(2) <?>i unshare(2) (dar, de la Linux 3.8,
                 crearea de spa<?>ii de nume de utilizator nu necesita nicio
                 capacitate);
              o  acceseaza informa<?>iile privilegiate ale evenimentului perf;
              o  apeleaza setns(2) (necesita CAP_SYS_ADMIN in spa<?>iul de
                 nume target);
              o  apeleaza fanotify_init(2);
              o  efectueaza opera<?>ii privilegiate KEYCTL_CHOWN <?>i
                 KEYCTL_SETPERM keyctl(2);
              o  efectueaza opera<?>ia madvise(2) MADV_HWPOISON;
              o  utilizeaza TIOCSTI ioctl(2) pentru a introduce caractere in
                 coada de intrare a unui alt terminal decat terminalul de
                 control al apelantului;
              o  utilizeaza apelul de sistem invechit nfsservctl(2);
              o  utilizeaza apelul de sistem invechit bdflush(2);
              o  efectueaza diverse opera<?>ii privilegiate ioctl(2) cu
                 dispozitive de blocuri;
              o  efectueaza diverse opera<?>ii privilegiate ioctl(2) cu
                 sistemul de fi<?>iere;
              o  efectueaza opera<?>ii privilegiate ioctl(2) pe dispozitivul
                 /dev/random (consulta<?>i random(4));
              o  instaleaza un filtru seccomp(2) fara a fi necesar sa
                 defineasca mai intai atributul firului no_new_privs;
              o  modifica regulile de autorizare/respingere pentru grupurile
                 de control ale dispozitivelor;
              o  utilizeaza opera<?>ia ptrace(2) PTRACE_SECCOMP_GET_FILTER
                 pentru a descarca filtrele seccomp ale urmei(traseului)
              o  utiliza<?>i opera<?>ia ptrace(2) PTRACE_SETOPTIONS pentru a
                 suspenda protec<?>iile seccomp ale traseului (de exemplu,
                 fanionul PTRACE_O_SUSPEND_SECCOMP);
              o  efectueaza opera<?>ii administrative asupra mai multor
                 controlori de dispozitive;
              o  modifica valorile de curtoazie ale autogrupului prin scrierea
                 in /proc/pid/autogroup [a se vedea sched(7)].

       CAP_SYS_BOOT
              Utilizeaza reboot(2) <?>i kexec_load(2).

       CAP_SYS_CHROOT
              o  Utilizeaza chroot(2);
              o  modifica spa<?>iile de nume de montare utilizand setns(2).

       CAP_SYS_MODULE
              o  Incarca <?>i descarca module ale nucleului (a se vedea
                 init_module(2) <?>i delete_module(2));
              o  inainte de Linux 2.6.25: renun<?>a la capacita<?>ile din
                 setul de delimitare a capacita<?>ilor la nivel de sistem.

       CAP_SYS_NICE
              o  Reduce valoarea de curtoazie (nice) a procesului (nice(2),
                 setpriority(2)) <?>i modifica valoarea de curtoazie pentru
                 procesele arbitrare;
              o  stabile<?>te politici de planificare in timp real pentru
                 procesul apelant <?>i stabile<?>te politici de planificare
                 <?>i priorita<?>i pentru procese arbitrare
                 (sched_setscheduler(2), sched_setparam(2), sched_setattr(2));
              o  stabile<?>te afinitatea CPU pentru procese arbitrare
                 (sched_setaffinity(2));
              o  stabile<?>te clasa de planificare a In/Ie<?> <?>i prioritatea
                 pentru procese arbitrare (ioprio_set(2));
              o  aplica migrate_pages(2) la procese arbitrare <?>i permite
                 migrarea proceselor catre noduri arbitrare;
              o  aplica move_pages(2) pe procese arbitrare;
              o  utilizeaza fanionul MPOL_MF_MOVE_ALL cu mbind(2) <?>i
                 move_pages(2).

       CAP_SYS_PACCT
              Utilizeaza acct(2).

       CAP_SYS_PTRACE
              o  Urmare<?>te procese arbitrare folosind ptrace(2);
              o  inspecteaza informa<?>ii sensibile ale altor procese prin
                 intermediul /proc (de exemplu, citirea /proc/pid/maps,
                 /proc/pid/mem sau citirea legaturilor simbolice
                 /proc/pid/exe, /proc/pid/fd/*);
              o  aplica get_robust_list(2) pe procese arbitrare;
              o  transfera date catre sau din memoria unor procese arbitrare
                 utilizand process_vm_readv(2) <?>i process_vm_writev(2);
              o  inspecteaza procesele utilizand kcmp(2);
              o  efectueaza alte opera<?>ii privilegiate de inspec<?>ie a
                 proceselor <?>i depanare.  (Consulta<?>i utilizarile
                 func<?>iei nucleului ptrace_may_access().)

       CAP_SYS_RAWIO
              o  Efectueaza opera<?>ii ale portului de In/Ie<?> (iopl(2) <?>i
                 ioperm(2));
              o  acceseaza /proc/kcore;
              o  utilizeaza opera<?>ia FIBMAP ioctl(2);
              o  deschide dispozitive pentru accesarea registrelor specifice
                 modelului x86 (MSR, vezi msr(4));
              o  actualizeaza /proc/sys/vm/mmap_min_addr;
              o  creeaza coresponden<?>e de memorie la adrese sub valoarea
                 specificata de /proc/sys/vm/mmap_min_addr;
              o  cartografiaza fi<?>ierele in /proc/bus/pci;
              o  deschide /dev/mem <?>i /dev/kmem;
              o  efectueaza diverse comenzi pentru dispozitive SCSI;
              o  efectueaza anumite opera<?>ii pe dispozitive hpsa(4) <?>i
                 cciss(4);
              o  efectueaza o serie de opera<?>ii specifice dispozitivelor pe
                 alte dispozitive.

       CAP_SYS_RESOURCE
              o  Utilizeaza spa<?>iul rezervat pe sistemele de fi<?>iere ext2;
              o  face apeluri ioctl(2) care controleaza jurnalizarea ext3;
              o  suprascrie limitele cotelor de disc;
              o  cre<?>te limitele resurselor (a se vedea setrlimit(2));
              o  suprascrie limita resurselor RLIMIT_NPROC;
              o  suprascrie numarul maxim de console in alocarea consolelor;
              o  suprascrie numarul maxim de aranjamente de tastatura;
              o  permite intreruperi mai mari de 64hz de la ceasul in timp
                 real;
              o  ridica limita msg_qbytes pentru o coada de mesaje System V
                 peste limita din /proc/sys/kernel/msgmnb (consulta<?>i
                 msgop(2) <?>i msgctl(2));
              o  permite ca limita de resurse RLIMIT_NOFILE privind numarul de
                 descriptori de fi<?>iere ,,in zbor" sa fie ocolita atunci
                 cand se transmit descriptori de fi<?>iere unui alt proces
                 prin intermediul unui soclu de domeniu UNIX [a se vedea
                 unix(7)];
              o  suprascrie limita /proc/sys/fs/pipe-size-max atunci cand se
                 stabile<?>te capacitatea unei conducte utilizand comanda
                 F_SETPIPE_SZ fcntl(2);
              o  utilizeaza F_SETPIPE_SZ pentru a cre<?>te capacitatea unei
                 conducte peste limita specificata de
                 /proc/sys/fs/pipe-max-size;
              o  suprascrie limitele /proc/sys/fs/mqueue/queues_max,
                 /proc/sys/fs/mqueue/msg_max <?>i
                 /proc/sys/fs/mqueue/msgsize_max la crearea cozilor de mesaje
                 POSIX (consulta<?>i mq_overview(7));
              o  utilizeaza opera<?>ia prctl(2) PR_SET_MM;
              o  stabile<?>te /proc/pid/oom_score_adj la o valoare mai mica
                 decat ultima valoare stabilita de un proces cu
                 CAP_SYS_RESOURCE.

       CAP_SYS_TIME
              Regleaza ceasul sistemului (settimeofday(2), stime(2),
              adjtimex(2)); regleaza ceasul in timp real (hardware).

       CAP_SYS_TTY_CONFIG
              Utilizeaza vhangup(2); utilizeaza diverse opera<?>ii
              privilegiate ioctl(2) pe terminale virtuale.

       CAP_SYSLOG (incepand cu Linux 2.6.37)
              o  Efectueaza opera<?>ii privilegiate syslog(2). Consulta<?>i
                 syslog(2) pentru informa<?>ii privind opera<?>iile care
                 necesita privilegii.
              o  Vizualizeaza adresele nucleului expuse prin /proc <?>i alte
                 interfe<?>e atunci cand /proc/sys/kernel/kptr_restrict are
                 valoarea 1. (Consulta<?>i discu<?>ia despre kptr_restrict in
                 proc(5).)

       CAP_WAKE_ALARM (incepand cu Linux 3.0)
              Declan<?>eaza ceva care va trezi sistemul (define<?>te
              temporizatoarele CLOCK_REALTIME_ALARM <?>i
              CLOCK_BOOTTIME_ALARM).

   Implementarea trecuta <?>i actuala
       O implementare completa a capacita<?>ilor necesita urmatoarele:

       o  Pentru toate opera<?>iile privilegiate, nucleul trebuie sa verifice
          daca firul are capacitatea necesara in setul sau efectiv.

       o  Nucleul trebuie sa furnizeze apeluri de sistem care sa permita
          modificarea <?>i recuperarea seturilor de capacita<?>i ale unui fir.

       o  Sistemul de fi<?>iere trebuie sa permita ata<?>area de capacita<?>i
          la un fi<?>ier executabil, astfel incat un proces sa ob<?>ina aceste
          capacita<?>i atunci cand fi<?>ierul este executat.

       Inainte de Linux 2.6.24, doar primele doua dintre aceste cerin<?>e sunt
       indeplinite; incepand cu Linux 2.6.24, toate cele trei cerin<?>e sunt
       indeplinite.

   Note pentru dezvoltatorii nucleului
       Cand adauga<?>i o noua caracteristica a nucleului care ar trebui sa fie
       reglementata de o capacitate, lua<?>i in considerare urmatoarele
       puncte.

       o  Scopul capacita<?>ilor este de a impar<?>i puterea
          superutilizatorului in par<?>i, astfel incat, daca un program care
          are una sau mai multe capacita<?>i este compromis, puterea sa de a
          provoca daune sistemului sa fie mai mica decat a aceluia<?>i program
          care ruleaza cu privilegii de root.

       o  Pute<?>i alege fie sa crea<?>i o noua capacitate pentru noua
          caracteristica, fie sa asocia<?>i caracteristica cu una dintre
          capacita<?>ile existente. Pentru a men<?>ine setul de capacita<?>i
          la o dimensiune gestionabila, ultima op<?>iune este preferabila, cu
          excep<?>ia cazului in care exista motive imperioase pentru a alege
          prima op<?>iune; (exista <?>i o limita tehnica: dimensiunea
          seturilor de capacita<?>i este limitata in prezent la 64 de bi<?>i).

       o  Pentru a determina ce capacitate existenta ar putea fi cel mai bine
          asociata cu noua caracteristica, revizui<?>i lista de capacita<?>i
          de mai sus pentru a gasi un ,,silo" (un grup) in care noua
          caracteristica se incadreaza cel mai bine. O abordare de urmat este
          de a determina daca exista alte caracteristici care necesita
          capacita<?>i care vor fi intotdeauna utilizate impreuna cu noua
          caracteristica. Daca noua caracteristica este inutila fara aceste
          alte caracteristici, ar trebui sa utiliza<?>i aceea<?>i capacitate
          ca <?>i celelalte caracteristici.

       o  Nu alege<?>i capacitatea CAP_SYS_ADMIN daca o pute<?>i evita! O mare
          parte din verificarile de capacitate existente sunt asociate cu
          aceasta capacitate (a se vedea lista par<?>iala de mai sus). Aceasta
          poate fi numita in mod plauzibil ,,noua radacina", deoarece, pe de o
          parte, confera o gama larga de puteri, iar pe de alta parte,
          domeniul sau larg de aplicare inseamna ca aceasta este capacitatea
          care este necesara pentru multe programe privilegiate. Nu
          inrauta<?>i<?>i problema. Singurele caracteristici noi care ar
          trebui asociate cu CAP_SYS_ADMIN sunt cele care aproape corespund
          utilizarilor existente in acel ,,silo" (grup).

       o  Daca a<?>i stabilit ca este cu adevarat necesar sa crea<?>i o noua
          capacitate pentru caracteristica dvs., nu o crea<?>i sau numi<?>i-o
          ca fiind o capacitate ,,de unica folosin<?>a". Astfel, de exemplu,
          adaugarea caracteristicii foarte specifice CAP_SYS_PACCT a fost
          probabil o gre<?>eala. In schimb, incerca<?>i sa identifica<?>i <?>i
          sa denumi<?>i noua dvs. capacitate ca un ,,silo" (grup) mai larg in
          care s-ar putea incadra alte cazuri de utilizare viitoare conexe.

   Seturi de capacita<?>i pentru fire
       Fiecare fir are urmatoarele seturi de capacita<?>i care con<?>in zero
       sau mai multe dintre capacita<?>ile de mai sus:

       Permitted (permis)
              Acesta este un superset limitativ pentru capacita<?>ile efective
              pe care firul le poate prelua. Este, de asemenea, un superset
              limitativ pentru capacita<?>ile care pot fi adaugate la setul
              mo<?>tenit de un fir care nu are capacitatea CAP_SETPCAP in
              setul sau efectiv.

              In cazul in care un fir de execu<?>ie renun<?>a la o capacitate
              din setul sau permis, acesta nu o poate redobandi niciodata (cu
              excep<?>ia cazului in care execve(2)s fie un program
              set-user-ID-root, fie un program ale carui capacita<?>i de
              fi<?>ier asociate acorda aceasta capacitate).

       Inheritable (mo<?>tenibil)
              Acesta este un set de capacita<?>i pastrate de-a lungul unui
              execve(2). Capacita<?>ile mo<?>tenite raman mo<?>tenite atunci
              cand se executa orice program, iar capacita<?>ile mo<?>tenite
              sunt adaugate la setul permis atunci cand se executa un program
              care are bi<?>ii corespunzatori activa<?>i in setul mo<?>tenit
              al fi<?>ierului.

              Deoarece capacita<?>ile mo<?>tenite nu sunt, in general,
              pastrate in execve(2) atunci cand se ruleaza ca utilizator
              non-root, aplica<?>iile care doresc sa ruleze programe
              ajutatoare cu capacita<?>i ridicate ar trebui sa ia in
              considerare utilizarea capacita<?>ilor ambientale, descrise mai
              jos.

       Effective (efectiv)
              Acesta este setul de capacita<?>i utilizate de nucleu pentru a
              efectua verificari ale permisiunilor pentru fir.

       Bounding (limitare) (per-fir incepand cu Linux 2.6.25)
              Setul de limitare a capacita<?>ilor este un mecanism care poate
              fi utilizat pentru a limita capacita<?>ile care sunt ob<?>inute
              in timpul execve(2).

              Incepand cu Linux 2.6.25, acesta este un set de capacita<?>i
              pentru fiecare fir. In nucleele mai vechi, setul de limitare a
              capacita<?>ilor era un atribut la nivel de sistem partajat de
              toate firele din sistem.

              Pentru mai multe detalii, a se vedea mai jos sec<?>iunea Setul
              de limitare a capacita<?>ilor.

       Ambient (ambiental) (incepand cu Linux 4.3)
              Acesta este un set de capacita<?>i care sunt pastrate pe
              parcursul unei execve(2) a unui program care nu este
              privilegiat. Setul de capacita<?>i ambientale respecta
              invariantul conform caruia nicio capacitate nu poate fi
              ambientala daca nu este permisa <?>i mo<?>tenita.

              Setul de capacita<?>i ambientale poate fi modificat direct
              utilizand prctl(2). Capacita<?>ile ambientale sunt reduse
              automat daca oricare dintre capacita<?>ile permise sau
              mo<?>tenite corespunzatoare este redusa.

              Executarea unui program care modifica UID-ul sau GID-ul datorita
              bi<?>ilor set-user-ID sau set-group-ID sau execu<?>ia unui
              program care are orice capacitate de fi<?>ier activata va
              <?>terge setul ambiental. Capacita<?>ile ambientale sunt
              adaugate la setul permis <?>i atribuite setului efectiv atunci
              cand este apelat execve(2). Daca capacita<?>ile ambientale
              determina cre<?>terea capacita<?>ilor permise <?>i efective ale
              unui proces in timpul unui apel execve(2), acest lucru nu
              declan<?>eaza modul de execu<?>ie securizat descris in ld.so(8).

       Un copil creat prin fork(2) mo<?>tene<?>te copii ale seturilor de
       capacita<?>i ale parintelui sau. Pentru detalii privind modul in care
       execve(2) afecteaza capacita<?>ile, consulta<?>i sec<?>iunea
       Transformarea capacita<?>ilor in timpul execve() de mai jos.

       Folosind capset(2), un fir i<?>i poate manipula propriile seturi de
       capacita<?>i; a se vedea mai jos sec<?>iunea Ajustarea programatica a
       seturilor de capacita<?>i.

       Incepand cu Linux 3.2, fi<?>ierul /proc/sys/kernel/cap_last_cap expune
       valoarea numerica a celei mai inalte capacita<?>i acceptate de nucleul
       care ruleaza; aceasta poate fi utilizata pentru a determina cel mai
       inalt bit care poate fi activat intr-un set de capacita<?>i.

   Capacita<?>i de fi<?>ier
       Incepand cu Linux 2.6.24, nucleul accepta asocierea seturilor de
       capacita<?>i cu un fi<?>ier executabil utilizand setcap(8). Seturile de
       capacita<?>i ale fi<?>ierului sunt stocate intr-un atribut extins (a se
       vedea setxattr(2) <?>i xattr(7)) numit security.capability.  Seturile
       de capacita<?>i ale fi<?>ierului, impreuna cu seturile de capacita<?>i
       ale firului, determina capacita<?>ile unui fir dupa un execve(2).

       Cele trei seturi de capacita<?>i de fi<?>ier sunt:

       Permitted (cunoscut anterior ca forced (for<?>at)):
              Aceste capacita<?>i sunt permise automat firului, indiferent de
              capacita<?>ile mo<?>tenite ale firului.

       Inheritable (cunoscut anterior ca allowed (permis)):
              Acest set este combinat printr-un <?>I logic cu setul mo<?>tenit
              al firului pentru a determina ce capacita<?>i mo<?>tenite sunt
              activate in setul permis al firului dupa execve(2).

       Effective:
              Acesta nu este un set, ci mai degraba un singur bit. Daca acest
              bit este activat, atunci in timpul unui execve(2) toate noile
              capacita<?>i permise pentru firul de execu<?>ie sunt, de
              asemenea, adaugate in setul efectiv.  Daca acest bit nu este
              activat, atunci dupa un execve(2), niciuna dintre noile
              capacita<?>i permise nu se afla in noul set efectiv.

              Activarea bitului de capacitate efectiva a fi<?>ierului implica
              faptul ca orice capacitate permisa sau mo<?>tenita a
              fi<?>ierului care determina un fir de execu<?>ie sa dobandeasca
              capacitatea permisa corespunzatoare in timpul unui execve(2) (a
              se vedea sec<?>iunea Transformarea capacita<?>ilor in timpul
              execve() de mai jos) va dobandi <?>i capacitatea respectiva in
              setul sau efectiv. Prin urmare, atunci cand se atribuie
              capacita<?>i unui fi<?>ier (setcap(8), cap_set_file(3),
              cap_set_fd(3)), daca se specifica faptul ca fanionul efectiv
              este activat pentru orice capacitate, atunci fanionul efectiv
              trebuie, de asemenea, sa fie specificat ca activat pentru toate
              celelalte capacita<?>i pentru care este activat fanionul permis
              sau mo<?>tenit corespunzator.

   Versiunea extinsa a atributelor capacita<?>ii fi<?>ierului
       Pentru a permite extensibilitatea, nucleul accepta o schema de codare a
       unui numar de versiune in interiorul atributului extins
       security.capability care este utilizat pentru implementarea
       capacita<?>ilor fi<?>ierelor. Aceste numere de versiune sunt interne
       implementarii <?>i nu sunt vizibile direct pentru aplica<?>iile din
       spa<?>iul utilizatorului. Pana in prezent, sunt acceptate urmatoarele
       versiuni:

       VFS_CAP_REVISION_1
              Aceasta a fost implementarea originala a capacita<?>ilor de
              fi<?>ier, care suporta ma<?>ti pe 32 de bi<?>i pentru
              capacita<?>ile de fi<?>ier.

       VFS_CAP_REVISION_2 (incepand cu Linux 2.6.25)
              Aceasta versiune permite ma<?>tile de capacita<?>i ale
              fi<?>ierelor care au o dimensiune de 64 de bi<?>i <?>i a fost
              necesara deoarece numarul capacita<?>ilor acceptate a crescut
              peste 32. In mod transparent, nucleul continua sa sus<?>ina
              executarea fi<?>ierelor care au ma<?>ti de capacita<?>i
              versiunea 1 pe 32 de bi<?>i, dar atunci cand adauga capacita<?>i
              fi<?>ierelor care nu aveau anterior capacita<?>i sau modifica
              capacita<?>ile fi<?>ierelor existente, utilizeaza in mod automat
              schema versiunea 2 (sau posibil schema versiunea 3, dupa cum se
              descrie mai jos).

       VFS_CAP_REVISION_3 (incepand cu Linux 4.14)
              Capacita<?>ile de fi<?>ier ale versiunii 3 sunt furnizate pentru
              a oferi suport capacita<?>ilor de fi<?>ier cu spa<?>ii de nume
              (descrise mai jos).

              La fel ca in cazul capacita<?>ilor fi<?>ierelor din versiunea 2,
              ma<?>tile capacita<?>ilor din versiunea 3 au o dimensiune de 64
              de bi<?>i. Dar, in plus, ID-ul utilizatorului radacina al
              spa<?>iului de nume este codificat in atributul extins
              security.capability; (ID-ul de utilizator radacina al unui
              spa<?>iu de nume este valoarea la care ID-ul de utilizator 0 din
              interiorul acelui spa<?>iu de nume corespunde in spa<?>iul de
              nume al utilizatorului ini<?>ial).

              Capacita<?>ile fi<?>ierelor versiunea 3 sunt concepute pentru a
              coexista cu capacita<?>ile versiunii 2; adica, pe un sistem
              Linux modern, pot exista unele fi<?>iere cu capacita<?>i
              versiunea 2, in timp ce altele au capacita<?>i versiunea 3.

       Inainte de Linux 4.14, singurul tip de atribut extins de capacitate de
       fi<?>ier care putea fi ata<?>at unui fi<?>ier era un atribut
       VFS_CAP_REVISION_2. Incepand cu Linux 4.14, versiunea atributului
       extins security.capability care este ata<?>ata unui fi<?>ier depinde de
       circumstan<?>ele in care a fost creat atributul.

       Incepand cu Linux 4.14, un atribut extins security.capability este
       creat automat ca (sau convertit in) un atribut versiunea 3
       (VFS_CAP_REVISION_3) daca ambele situa<?>ii de mai jos sunt adevarate:

       o  Firul care scrie atributul se afla intr-un spa<?>iu de nume de
          utilizator neini<?>ial; (mai precis: firul se afla intr-un alt
          spa<?>iu de nume al utilizatorului decat cel din care a fost montat
          sistemul de fi<?>iere subiacent).

       o  Firul are capacitatea CAP_SETFCAP asupra nodului-i al fi<?>ierului,
          ceea ce inseamna ca (a) firul are capacitatea CAP_SETFCAP in
          propriul sau spa<?>iu de nume al utilizatorului; <?>i (b) UID <?>i
          GID ale nodului-i al fi<?>ierului au coresponden<?>e in spa<?>iul de
          nume al utilizatorului scriitorului.

       Cand se creeaza un atribut extins VFS_CAP_REVISION_3
       security.capability, ID-ul de utilizator radacina al spa<?>iului de
       nume de utilizator al firului de creare este salvat in atributul
       extins.

       In schimb, crearea sau modificarea unui atribut extins
       security.capability dintr-un fir privilegiat (CAP_SETFCAP) care se afla
       in spa<?>iul de nume in care a fost montat sistemul de fi<?>iere
       subiacent (aceasta inseamna in mod normal spa<?>iul de nume ini<?>ial
       al utilizatorului) are ca rezultat automat crearea unui atribut
       versiunea 2 (VFS_CAP_REVISION_2).

       Re<?>ine<?>i ca crearea unui atribut extins security.capability
       versiunea 3 este automata. Cu alte cuvinte, atunci cand o aplica<?>ie
       din spa<?>iul utilizatorului scrie (setxattr(2)) un atribut
       security.capability in formatul versiunea 2, nucleul va crea automat un
       atribut versiunea 3 daca atributul este creat in circumstan<?>ele
       descrise mai sus. In mod corespunzator, atunci cand un atribut
       security.capability versiunea 3 este recuperat (getxattr(2)) de catre
       un proces care se afla intr-un spa<?>iu de nume al utilizatorului care
       a fost creat de ID-ul utilizatorului radacina (sau de un descendent al
       acestui spa<?>iu de nume al utilizatorului), atributul returnat este
       (automat) simplificat pentru a aparea ca un atribut versiunea 2 (<?>i
       anume, valoarea returnata are dimensiunea unui atribut versiunea 2 <?>i
       nu include ID-ul utilizatorului radacina). Aceste conversii automate
       inseamna ca nu sunt necesare modificari ale instrumentelor din
       spa<?>iul utilizatorului (de exemplu, setcap(1) <?>i getcap(1)) pentru
       ca aceste instrumente sa poata fi utilizate pentru a crea <?>i a
       extrage atribute security.capability versiunea 3.

       Re<?>ine<?>i ca un fi<?>ier poate avea asociat un atribut extins
       security.capability versiunea 2 sau versiunea 3, dar nu ambele: crearea
       sau modificarea atributului extins security.capability va modifica
       automat versiunea in func<?>ie de circumstan<?>ele in care atributul
       extins este creat sau modificat.

   Transformarea capacita<?>ilor in timpul execve()
       In timpul unui execve(2), nucleul calculeaza noile capacita<?>i ale
       procesului utilizand urmatorul algoritm:

           P'(ambient)     = (fi<?>ierul este privilegiat) ? 0 : P(ambient)

           P'(permitted)   = (P(inheritable) & F(inheritable)) |
                             (F(permitted) & P(bounding)) | P'(ambient)

           P'(effective)   = F(effective) ? P'(permitted) : P'(ambient)

           P'(inheritable) = P(inheritable)    [adica neschimbata]

           P'(bounding)    = P(bounding)       [adica neschimbata]

       unde:

           P()    indica valoarea capacita<?>ii unui fir de execu<?>ie
                  stabilita inainte de execve(2)

           P'()   indica valoarea capacita<?>ii unui fir de execu<?>ie
                  stabilita dupa execve(2)

           F()    indica un set de capacita<?>i de fi<?>ier

       Re<?>ine<?>i urmatoarele detalii referitoare la regulile de
       transformare a capacita<?>ilor de mai sus:

       o  Setul de capacita<?>i ambientale este prezent doar incepand cu Linux
          4.3. Atunci cand se determina transformarea setului ambiental in
          timpul execve(2), un fi<?>ier privilegiat este unul care are
          capacita<?>i sau are bitul set-user-ID sau set-group-ID activat.

       o  Inainte de Linux 2.6.25, setul de limitare era un atribut la nivel
          de sistem partajat de toate firele. Aceasta valoare la nivel de
          sistem era utilizata pentru a calcula noul set permis in timpul
          execve(2) in acela<?>i mod ca cel prezentat mai sus pentru
          P(bounding).

       Nota: in timpul tranzi<?>iilor de capacitate descrise mai sus,
       capacita<?>ile de fi<?>ier pot fi ignorate (tratate ca fiind goale) din
       acelea<?>i motive pentru care sunt ignora<?>i bi<?>ii set-user-ID <?>i
       set-group-ID; a se vedea execve(2). Capacita<?>ile de fi<?>ier sunt
       ignorate in mod similar daca nucleul a fost ini<?>iat cu op<?>iunea
       no_file_caps.

       Nota: in conformitate cu regulile de mai sus, daca un proces cu ID-uri
       de utilizator diferite de zero executa un execve(2), toate
       capacita<?>ile care sunt prezente in seturile sale permise <?>i
       efective vor fi <?>terse. Pentru tratamentul capacita<?>ilor atunci
       cand un proces cu un ID utilizator zero efectueaza un execve(2), a se
       vedea sec<?>iunea Capacita<?>i <?>i executarea de programe de catre
       root de mai jos.

   Verificarea siguran<?>ei pentru binarele cu capacita<?>i reduse
       Un binar ,,capability-dumb" este o aplica<?>ie care a fost marcata
       pentru a avea capacita<?>i de fi<?>ier, dar care nu a fost convertita
       pentru a utiliza API-ul libcap(3) pentru a-<?>i manipula capacita<?>ile
       (cu alte cuvinte, acesta este un program tradi<?>ional set-user-ID-root
       care a fost schimbat pentru a utiliza capacita<?>ile fi<?>ierului, dar
       al carui cod nu a fost modificat pentru a in<?>elege capacita<?>ile).
       Pentru astfel de aplica<?>ii, bitul de capacitate efectiva este definit
       pe fi<?>ier, astfel incat capacita<?>ile permise ale fi<?>ierului sunt
       activate automat in setul efectiv al procesului atunci cand se executa
       fi<?>ierul. Nucleul recunoa<?>te un fi<?>ier al carui bit de capacitate
       efectiva este definit ca fiind ,,capability-dumb" in scopul verificarii
       descrise aici.

       Atunci cand se executa un binar ,,capability-dumb", nucleul verifica
       daca procesul a ob<?>inut toate capacita<?>ile permise care au fost
       specificate in setul permis al fi<?>ierului, dupa ce au fost efectuate
       transformarile de capacita<?>i descrise mai sus; (motivul tipic pentru
       care acest lucru ar putea sa nu se intample este ca setul de limitare a
       capacita<?>ilor a mascat unele dintre capacita<?>ile din setul permis
       al fi<?>ierului). In cazul in care procesul nu a ob<?>inut setul
       complet de capacita<?>i permise ale fi<?>ierului, atunci execve(2)
       e<?>ueaza cu eroarea EPERM. Acest lucru previne posibilele riscuri de
       securitate care ar putea aparea atunci cand o aplica<?>ie cu
       capacita<?>i insuficiente este executata cu mai pu<?>ine privilegii
       decat are nevoie. Re<?>ine<?>i ca, prin defini<?>ie, aplica<?>ia
       insa<?>i nu ar putea recunoa<?>te aceasta problema, deoarece nu
       utilizeaza API-ul libcap(3).

   Capacita<?>i <?>i executarea de programe de catre root
       Pentru a reflecta semantica tradi<?>ionala UNIX, nucleul efectueaza un
       tratament special al capacita<?>ilor fi<?>ierelor atunci cand un proces
       cu UID 0 (root) executa un program <?>i atunci cand este executat un
       program set-user-ID-root.

       Dupa efectuarea oricaror modificari ale ID-ului efectiv al procesului
       care au fost declan<?>ate de bitul de mod set-user-ID al binarului - de
       exemplu, schimbarea ID-ului efectiv al utilizatorului la 0 (root)
       deoarece a fost executat un program set-user-ID-root - nucleul
       calculeaza seturile de capacita<?>i ale fi<?>ierelor dupa cum urmeaza:

       (1)  Daca ID-ul de utilizator real sau efectiv al procesului este 0
            (root), atunci seturile de fi<?>iere mo<?>tenite <?>i permise sunt
            ignorate; in schimb, acestea sunt considerate in mod teoretic ca
            fiind toate unu (adica toate capacita<?>ile activate). Exista o
            excep<?>ie de la acest comportament, descrisa in sec<?>iunea
            Programele set-user-ID-root care au capacita<?>i de fi<?>ier de
            mai jos.

       (2)  Daca ID-ul de utilizator efectiv al procesului este 0 (root) sau
            bitul efectiv al fi<?>ierului este de fapt activat, atunci bitul
            efectiv al fi<?>ierului este definit no<?>ional ca fiind unu
            (activat).

       Aceste valori no<?>ionale pentru seturile de capacita<?>i ale
       fi<?>ierului sunt apoi utilizate conform descrierii de mai sus pentru a
       calcula transformarea capacita<?>ilor procesului in timpul execve(2).

       Astfel, atunci cand un proces cu UID-uri diferite de zero apeleaza
       execve(2) pe un program set-user-ID-root care nu are capacita<?>i
       ata<?>ate, sau atunci cand un proces ale carui UID-uri reale <?>i
       efective sunt zero apeleaza execve(2) pe un program, calculul noilor
       capacita<?>i permise ale procesului se simplifica la:

           P'(permitted)   = P(inheritable) | P(bounding)

           P'(effective)   = P'(permitted)

       In consecin<?>a, procesul ob<?>ine toate capacita<?>ile din seturile
       sale de capacita<?>i permise <?>i efective, cu excep<?>ia celor mascate
       de setul de limitare a capacita<?>ilor; (in calculul lui P'(permitted),
       termenul P'(ambient) poate fi simplificat, deoarece este prin
       defini<?>ie un subset propriu al lui P(inheritable)).

       Tratamentele speciale ale ID-ului de utilizator 0 (root) descrise in
       aceasta subsec<?>iune pot fi dezactivate utilizand mecanismul
       ,,securebits" descris mai jos.

   Programele set-user-ID-root care au capacita<?>i de fi<?>ier
       Exista o excep<?>ie de la comportamentul descris la punctul
       Capacita<?>i <?>i executarea de programe de catre root de mai sus. Daca
       (a) binarul care este executat are ata<?>ate capacita<?>i <?>i (b)
       ID-ul de utilizator real al procesului nu este 0 (root) <?>i (c) ID-ul
       de utilizator efectiv al procesului este este 0 (root), atunci bi<?>ii
       de capacitate ai fi<?>ierului sunt onora<?>i (adica nu sunt
       considera<?>i teoretic ca fiind to<?>i unu). Modul obi<?>nuit in care
       poate aparea aceasta situa<?>ie este atunci cand se executa un program
       set-UID-root care are, de asemenea, capacita<?>i de fi<?>ier. Atunci
       cand se executa un astfel de program, procesul ob<?>ine doar
       capacita<?>ile acordate de program (<?>i anume, nu toate
       capacita<?>ile, a<?>a cum s-ar intampla in cazul executarii unui
       program set-user-ID-root care nu are asociate capacita<?>i de
       fi<?>ier).

       Re<?>ine<?>i ca se pot atribui seturi de capacita<?>i goale unui
       fi<?>ier de program <?>i, astfel, este posibil sa se creeze un program
       set-user-ID-root care modifica set-user-ID-ul efectiv <?>i salvat al
       procesului care executa programul la 0, dar nu confera nicio capacitate
       procesului respectiv.

   Setul de limitare a capacita<?>ilor
       Setul de limitare a capacita<?>ilor este un mecanism de securitate care
       poate fi utilizat pentru a limita capacita<?>ile care pot fi ob<?>inute
       in timpul unei execve(2). Setul de limitare este utilizat in
       urmatoarele moduri:

       o  In timpul unei opera<?>ii execve(2), setul de limitare a
          capacita<?>ilor este combinat cu <?>I logic cu setul de capacita<?>i
          permise ale fi<?>ierului, iar rezultatul acestei opera<?>ii este
          atribuit setului de capacita<?>i permise ale firului. Setul de
          limitare a capacita<?>ilor impune astfel o limita asupra
          capacita<?>ilor permise care pot fi acordate de un fi<?>ier
          executabil.

       o  (Incepand cu Linux 2.6.25) Setul de limitare a capacita<?>ilor
          ac<?>ioneaza ca un superset limitativ pentru capacita<?>ile pe care
          un fir le poate adauga la setul sau mo<?>tenit utilizand capset(2).
          Aceasta inseamna ca, daca o capacitate nu se afla in setul
          limitativ, atunci un fir de execu<?>ie nu poate adauga aceasta
          capacitate la setul sau mo<?>tenit, chiar daca se afla in
          capacita<?>ile sale permise, <?>i, prin urmare, nu poate pastra
          aceasta capacitate in setul sau permis atunci cand se apeleaza
          execve(2) pe un fi<?>ier care are capacitatea in setul sau
          mo<?>tenit.

       Re<?>ine<?>i ca setul delimitator mascheaza capacita<?>ile permise ale
       fi<?>ierului, dar nu <?>i capacita<?>ile mo<?>tenite. In cazul in care
       un fir de execu<?>ie men<?>ine o capacitate in setul sau mo<?>tenit
       care nu se afla in setul sau limitativ, atunci acesta poate ob<?>ine in
       continuare acea capacitate in setul sau permis prin executarea unui
       fi<?>ier care are capacitatea respectiva in setul sau mo<?>tenit.

       In func<?>ie de versiunea nucleului, setul de limitare a capacita<?>ii
       este fie un atribut la nivel de sistem, fie un atribut per proces.

       Setul de limitare a capacita<?>ilor de la Linux 2.6.25 incoace

       Incepand cu Linux 2.6.25, setul de limitare a capacita<?>ilor este un
       atribut per-fir; (setul de delimitare a capacita<?>ilor la nivelul
       intregului sistem descris mai jos nu mai exista).

       Setul de limitare este mo<?>tenit la fork(2) de la parintele firului
       <?>i este pastrat pe parcursul unui execve(2).

       Un fir de execu<?>ie poate elimina capacita<?>i din setul sau de
       limitare a capacita<?>ilor utilizand opera<?>ia prctl(2)
       PR_CAPBSET_DROP, cu condi<?>ia sa aiba capacitatea CAP_SETPCAP. Odata
       ce o capacitate a fost eliminata din setul limitator, aceasta nu mai
       poate fi readusa in acel set. Un fir de execu<?>ie poate determina daca
       o capacitate se afla in setul sau limitator utilizand opera<?>ia
       prctl(2) PR_CAPBSET_READ.

       Eliminarea capacita<?>ilor din setul de limitare este acceptata numai
       daca capacita<?>ile de fi<?>ier sunt compilate in nucleu. Inainte de
       Linux 2.6.33, capacita<?>ile de fi<?>ier erau o caracteristica
       op<?>ionala configurabila prin op<?>iunea
       CONFIG_SECURITY_FILE_CAPABILITIES. Incepand cu Linux 2.6.33, op<?>iunea
       de configurare a fost eliminata, iar capacita<?>ile de fi<?>ier fac
       intotdeauna parte din nucleu. Atunci cand capacita<?>ile de fi<?>ier
       sunt compilate in nucleu, procesul init (stramo<?>ul tuturor
       proceselor) incepe cu un set de limitare complet. In cazul in care
       capacita<?>ile de fi<?>ier nu sunt compilate in nucleu, atunci init
       incepe cu un set de limitare complet minus CAP_SETPCAP, deoarece
       aceasta capacitate are o semnifica<?>ie diferita atunci cand nu exista
       capacita<?>i de fi<?>ier.

       Eliminarea unei capacita<?>i din setul limitator nu o elimina din setul
       mo<?>tenit al firului. Cu toate acestea, impiedica adaugarea in viitor
       a capacita<?>ii inapoi in setul mo<?>tenit al firului.

       Setul de limitare a capacita<?>ilor inainte de Linux 2.6.25

       Inainte de Linux 2.6.25, setul de limitare a capacita<?>ilor este un
       atribut la nivel de sistem care afecteaza toate firele din sistem.
       Setul de limitare este accesibil prin intermediul fi<?>ierului
       /proc/sys/kernel/cap-bound; (in mod confuz, acest parametru al ma<?>tii
       de bi<?>i este exprimat ca numar zecimal cu semn in
       /proc/sys/kernel/cap-bound).

       Numai procesul init poate stabili capacita<?>i in setul de limitare a
       capacita<?>ilor; in afara de acesta, superutilizatorul (mai precis: un
       proces cu capacitatea CAP_SYS_MODULE) poate doar <?>terge capacita<?>i
       din acest set.

       Intr-un sistem standard, setul de limitare a capacita<?>ilor mascheaza
       intotdeauna capacitatea CAP_SETPCAP. Pentru a elimina aceasta
       restric<?>ie (periculos!), modifica<?>i defini<?>ia lui
       CAP_INIT_EFF_SET in include/linux/capability.h <?>i reconstrui<?>i
       nucleul.

       In Linux 2.2.11 a fost adaugata func<?>ia de set de limitare a
       capacita<?>ilor la nivel de sistem.

   Efectul modificarilor ID-ului utilizatorului asupra capacita<?>ilor
       Pentru a pastra semantica tradi<?>ionala pentru tranzi<?>iile intre
       ID-uri de utilizator 0 <?>i diferite de zero, nucleul efectueaza
       urmatoarele modificari ale seturilor de capacita<?>i ale unui fir de
       execu<?>ie la modificarile ID-urilor de utilizator reale, efective,
       salvate <?>i ale sistemului de fi<?>iere ale firului de execu<?>ie
       (utilizand setuid(2), setresuid(2) sau similar):

       o  In cazul in care unul sau mai multe dintre ID-urile de utilizator
          ale setului real, efectiv sau salvat au fost anterior 0 <?>i, ca
          urmare a modificarilor UID, toate aceste ID-uri au o valoare
          diferita de zero, atunci toate capacita<?>ile sunt <?>terse din
          seturile de capacita<?>i permise, efective <?>i ambientale.

       o  Daca ID-ul efectiv al utilizatorului este schimbat de la 0 la
          diferit de zero, atunci toate capacita<?>ile sunt <?>terse din setul
          efectiv.

       o  Daca ID-ul utilizatorului efectiv este schimbat de la diferit de
          zero la 0, atunci setul permis este copiat in setul efectiv.

       o  Daca ID-ul utilizatorului sistemului de fi<?>iere este schimbat de
          la 0 la diferit de zero (a se vedea setfsuid(2)), urmatoarele
          capacita<?>i sunt <?>terse din setul efectiv: CAP_CHOWN,
          CAP_DAC_OVERRIDE, CAP_DAC_READ_SEARCH, CAP_FOWNER, CAP_FSETID,
          CAP_LINUX_IMMUTABLE (incepand cu  Linux 2.6.30), CAP_MAC_OVERRIDE
          <?>i CAP_MKNOD (incepand cu Linux 2.6.30). Daca UID-ul sistemului de
          fi<?>iere este schimbat de la diferit de zero la 0, atunci oricare
          dintre aceste capacita<?>i care sunt activate in setul permis sunt
          activate in setul efectiv.

       Daca un fir care are o valoare 0 pentru unul sau mai multe dintre
       ID-urile sale de utilizator dore<?>te sa impiedice <?>tergerea setului
       sau de capacita<?>i permise atunci cand i<?>i restabile<?>te toate
       ID-urile de utilizator la valori diferite de zero, acesta poate face
       acest lucru utilizand fanionul ,,securebits" SECBIT_KEEP_CAPS descris
       mai jos.

   Ajustarea programatica a seturilor de capacita<?>i
       Un fir de execu<?>ie i<?>i poate recupera <?>i modifica seturile de
       capacita<?>i permise, efective <?>i mo<?>tenite utilizand apelurile de
       sistem capget(2) <?>i capset(2). Cu toate acestea, in acest scop este
       preferata utilizarea apelurilor cap_get_proc(3) <?>i cap_set_proc(3),
       ambele furnizate in pachetul libcap. Urmatoarele reguli guverneaza
       modificarile aduse seturilor de capacita<?>i ale firelor de execu<?>ie:

       o  Daca apelantul nu are capacitatea CAP_SETPCAP, noul set mo<?>tenit
          trebuie sa fie un subset al combina<?>iei dintre seturile
          mo<?>tenite <?>i permise existente.

       o  (De la Linux 2.6.25) Noul set mo<?>tenit trebuie sa fie un subset al
          combina<?>iei dintre setul mo<?>tenit existent <?>i setul de
          limitare a capacita<?>ilor.

       o  Noul set permis trebuie sa fie un subset al setului permis existent
          (de exemplu, nu este posibil sa se dobandeasca capacita<?>i permise
          pe care firul nu le are in prezent).

       o  Noul set efectiv trebuie sa fie un subset al noului set permis.

   Fanioanele ,,securebits": stabilirea unui mediu exclusiv pentru
       capacita<?>i
       Incepand cu Linux 2.6.26, <?>i cu un nucleu in care sunt activate
       capacita<?>ile de fi<?>ier, Linux implementeaza un set de fanioane
       securebits per-fir care pot fi utilizate pentru a dezactiva gestionarea
       speciala a capacita<?>ilor pentru UID 0 (root). Aceste fanioane sunt
       dupa cum urmeaza:

       SECBIT_KEEP_CAPS
              Definirea acestui fanion permite unui fir care are unul sau mai
              multe UID-uri 0 sa pastreze capacita<?>ile din setul sau permis
              atunci cand i<?>i schimba toate UID-urile la valori diferite de
              zero. Daca acest fanion nu este definit, atunci o astfel de
              schimbare de UID face ca firul sa piarda toate capacita<?>ile
              permise.  Acest fanion este intotdeauna eliminat in cazul unui
              apel execve(2).

              Re<?>ine<?>i ca, chiar daca fanionul SECBIT_KEEP_CAPS este
              activat, capacita<?>ile efective ale unui fir sunt <?>terse
              atunci cand acesta i<?>i schimba UID-ul efectiv la o valoare
              diferita de zero. Cu toate acestea, daca firul de execu<?>ie a
              activat acest fanion <?>i UID-ul sau efectiv este deja diferit
              de zero, iar firul de execu<?>ie trece ulterior toate celelalte
              UID-uri la valori diferite de zero, capacita<?>ile efective nu
              vor fi <?>terse.

              Activarea fanionului SECBIT_KEEP_CAPS este ignorata daca este
              activat fanionul SECBIT_NO_SETUID_FIXUP; (cel din urma fanion
              ofera un superset al efectului primului fanion).

              Acest fanion ofera aceea<?>i func<?>ionalitate ca <?>i vechea
              opera<?>ie prctl(2) PR_SET_KEEPCAPS.

       SECBIT_NO_SETUID_FIXUP
              Activarea acestui fanion impiedica nucleul sa ajusteze seturile
              de capacita<?>i permise, efective <?>i ambientale ale procesului
              atunci cand UID-urile efective <?>i de sistem de fi<?>iere ale
              firului sunt schimbate intre valori zero <?>i diferite de zero.
              Consulta<?>i Efectul modificarilor ID-ului utilizatorului asupra
              capacita<?>ilor de mai sus.

       SECBIT_NOROOT
              Daca acest bit este activat, atunci nucleul nu acorda
              capacita<?>i atunci cand este executat un program
              set-user-ID-root sau cand un proces cu un UID efectiv sau real
              de 0 apeleaza execve(2); (a se vedea sec<?>iunea Capacita<?>i
              <?>i executarea de programe de catre root de mai sus).

       SECBIT_NO_CAP_AMBIENT_RAISE
              Activarea acestui fanion nu permite cre<?>terea capacita<?>ilor
              ambientale prin opera<?>ia prctl(2) PR_CAP_AMBIENT_RAISE.

       Fiecare dintre fanioanele ,,de baza" de mai sus are un fanion ,,blocat"
       inso<?>itor. Activarea oricarui fanion ,,blocat" este ireversibila <?>i
       are ca efect impiedicarea modificarilor ulterioare ale fanionului ,,de
       baza" corespunzator.  Indicatoarele blocate sunt:
       SECBIT_KEEP_CAPS_LOCKED, SECBIT_NO_SETUID_FIXUP_LOCKED,
       SECBIT_NOROOT_LOCKED <?>i SECBIT_NO_CAP_AMBIENT_RAISE_LOCKED.

       Fanioanele securebits pot fi modificate <?>i recuperate utilizand
       opera<?>iile prctl(2) PR_SET_SECUREBITS <?>i PR_GET_SECUREBITS.
       Capacitatea CAP_SETPCAP este necesara pentru modificarea fanioanelor.
       Re<?>ine<?>i ca constantele SECBIT_* sunt disponibile numai dupa
       includerea fi<?>ierului antet <linux/securebits.h>.

       Fanioanele securebits sunt mo<?>tenite de procesele copii.  In timpul
       unui execve(2), toate fanioanele sunt pastrate, cu excep<?>ia
       SECBIT_KEEP_CAPS care este intotdeauna <?>ters.

       O aplica<?>ie poate utiliza urmatorul apel pentru a se bloca, impreuna
       cu to<?>i descenden<?>ii sai, intr-un mediu in care singura modalitate
       de a ob<?>ine capacita<?>i este prin executarea unui program cu
       capacita<?>i de fi<?>ier asociate:

           prctl(PR_SET_SECUREBITS,
                   /* SECBIT_KEEP_CAPS off */
                   SECBIT_KEEP_CAPS_LOCKED |
                   SECBIT_NO_SETUID_FIXUP |
                   SECBIT_NO_SETUID_FIXUP_LOCKED |
                   SECBIT_NOROOT |
                   SECBIT_NOROOT_LOCKED);
                   /* Definirea/blocarea SECBIT_NO_CAP_AMBIENT_RAISE
                      nu este necesara */

   Programele "set-user-ID-root" per spa<?>iu de nume de utilizator
       Un program set-user-ID al carui UID se potrive<?>te cu UID-ul care a
       creat un spa<?>iu de nume de utilizator va conferi capacita<?>i in
       seturile permise <?>i efective ale procesului atunci cand este executat
       de orice proces din interiorul acelui spa<?>iu de nume sau al oricarui
       spa<?>iu de nume de utilizator descendent.

       Regulile privind transformarea capacita<?>ilor procesului in timpul
       execve(2) sunt exact cele descrise in Transformarea capacita<?>ilor in
       timpul execve() <?>i Capacita<?>ile <?>i executarea de programe de
       catre root de mai sus, cu diferen<?>a ca, in ultima subsec<?>iune,
       ,,root" este UID-ul creatorului spa<?>iului de nume al utilizatorului.

   Capacita<?>i de fi<?>iere plasate in spa<?>ii de nume
       Capacita<?>ile de fi<?>ier tradi<?>ionale (adica versiunea 2) asociaza
       doar un set de ma<?>ti de capacita<?>i cu un fi<?>ier binar executabil.
       Atunci cand un proces executa un fi<?>ier binar cu astfel de
       capacita<?>i, acesta ob<?>ine capacita<?>ile asociate (in cadrul
       spa<?>iului sau de nume de utilizator) conform regulilor descrise la
       punctul Transformarea capacita<?>ilor in timpul execve() de mai sus.

       Deoarece capacita<?>ile de fi<?>ier ale versiunii 2 confera
       capacita<?>i procesului executant indiferent de spa<?>iul de nume al
       utilizatorului in care acesta se afla, numai procesele privilegiate
       sunt autorizate sa asocieze capacita<?>i cu un fi<?>ier. Aici,
       ,,privilegiat" inseamna un proces care are capacitatea CAP_SETFCAP in
       spa<?>iul de nume al utilizatorului in care a fost montat sistemul de
       fi<?>iere (in mod normal, spa<?>iul de nume al utilizatorului
       ini<?>ial). Aceasta limitare face ca capacita<?>ile fi<?>ierelor sa fie
       inutile pentru anumite cazuri de utilizare. De exemplu, in containerele
       cu spa<?>iu de nume de utilizator, poate fi de dorit sa se poata crea
       un binar care sa confere capacita<?>i numai proceselor executate in
       interiorul containerului respectiv, dar nu <?>i proceselor care sunt
       executate in afara containerului.

       Linux 4.14 a adaugat a<?>a-numitele capacita<?>i de fi<?>ier cu
       spa<?>ii de nume pentru a oferi suport pentru astfel de cazuri de
       utilizare. Capacita<?>ile de fi<?>ier cu spa<?>ii de nume sunt
       inregistrate ca atribute extinse security.capability versiunea 3
       (adica, VFS_CAP_REVISION_3). Un astfel de atribut este creat automat in
       circumstan<?>ele descrise la Versiunea extinsa a atributelor
       capacita<?>ii fi<?>ierului de mai sus. Atunci cand este creat un
       atribut extins security.capability versiunea 3, nucleul inregistreaza
       nu numai ma<?>tile de capacitate in atributul extins, ci <?>i ID-ul
       utilizatorului radacina al spa<?>iului de nume.

       Ca <?>i in cazul unui binar care are capacita<?>i de fi<?>ier
       VFS_CAP_REVISION_2, un binar cu capacita<?>i de fi<?>ier
       VFS_CAP_REVISION_3 confera capacita<?>i unui proces in timpul execve().
       Cu toate acestea, capacita<?>ile sunt conferite numai daca binarul este
       executat de un proces care se afla intr-un spa<?>iu de nume al
       utilizatorului al carui UID 0 corespunde ID-ului utilizatorului root
       care este salvat in atributul extins sau atunci cand este executat de
       un proces care se afla intr-un descendent al unui astfel de spa<?>iu de
       nume.

   Interac<?>iunea cu spa<?>iile de nume ale utilizatorilor
       Pentru informa<?>ii suplimentare privind interac<?>iunea dintre
       capacita<?>i <?>i spa<?>iile de nume ale utilizatorilor, consulta<?>i
       user_namespaces(7).

STANDARDE
       Nu exista standarde care sa reglementeze capacita<?>ile, dar
       implementarea capacita<?>ilor Linux se bazeaza pe proiectul de standard
       POSIX.1e retras <https://archive.org:/details/posix_1003.1e-990310>.

NOTE
       Atunci cand incerca<?>i sa strace(1) binarii care au capacita<?>i (sau
       binarii set-user-ID-root), este posibil sa gasi<?>i utila op<?>iunea -u
       <username>.  Ceva precum:

           $ sudo strace -o trace.log -u ceci ./prog_meu_privat

       De la Linux 2.5.27 la Linux 2.6.26, capacita<?>ile erau o componenta
       op<?>ionala a nucleului <?>i puteau fi activate/dezactivate prin
       op<?>iunea de configurare a nucleului CONFIG_SECURITY_CAPABILITIES.

       Fi<?>ierul /proc/pid/task/TID/status poate fi utilizat pentru a
       vizualiza seturile de capacita<?>i ale unui fir. Fi<?>ierul
       /proc/pid/status arata seturile de capacita<?>i ale firului principal
       al unui proces.  Inainte de Linux 3.8, capacita<?>ile inexistente erau
       afi<?>ate ca fiind activate (1) in aceste seturi. Incepand cu Linux
       3.8, toate capacita<?>ile inexistente (peste CAP_LAST_CAP) sunt
       afi<?>ate ca fiind dezactivate (0).

       Pachetul libcap ofera o suita de rutine pentru definirea <?>i
       ob<?>inerea capacita<?>ilor care este mai confortabila <?>i mai pu<?>in
       susceptibila de schimbare decat interfa<?>a oferita de capset(2) <?>i
       capget(2). Acest pachet furnizeaza <?>i programele setcap(8) <?>i
       getcap(8). Acesta poate fi gasit la adresa
       <https://git.kernel.org/pub/scm/libs/libcap/libcap.git/refs/>.

       Inainte de Linux 2.6.24 <?>i de la Linux 2.6.24 la Linux 2.6.32, daca
       capacita<?>ile de fi<?>ier nu sunt activate, un fir cu capacitatea
       CAP_SETPCAP poate manipula capacita<?>ile altor fire decat el. Cu toate
       acestea, acest lucru este posibil doar teoretic, deoarece niciun fir nu
       are CAP_SETPCAP in niciunul dintre aceste cazuri:

       o  In implementarea anterioara versiunii 2.6.25, setul de limitare a
          capacita<?>ilor la nivel de sistem, /proc/sys/kernel/cap-bound,
          mascheaza intotdeauna capacitatea CAP_SETPCAP, iar acest lucru nu
          poate fi schimbat fara modificarea sursei nucleului <?>i
          reconstruirea nucleului.

       o  In cazul in care capacita<?>ile de fi<?>ier sunt dezactivate (de
          exemplu, op<?>iunea CONFIG_SECURITY_FILE_CAPABILITIES a nucleului
          este dezactivata), atunci init incepe cu capacitatea CAP_SETPCAP
          eliminata din setul sau de limitare per-proces, iar acest set de
          limitare este mo<?>tenit de toate celelalte procese create in
          sistem.

CONSULTA<?>I <?>I
       capsh(1), setpriv(1), prctl(2), setfsuid(2), cap_clear(3),
       cap_copy_ext(3), cap_from_text(3), cap_get_file(3), cap_get_proc(3),
       cap_init(3), capgetp(3), capsetp(3), libcap(3), proc(5),
       credentials(7), pthreads(7), user_namespaces(7), captest(8),
       filecap(8), getcap(8), getpcaps(8), netcap(8), pscap(8), setcap(8)

       include/linux/capability.h in arborele sursa al nucleului Linux

TRADUCERE
       Traducerea in limba romana a acestui manual a fost facuta de Remus-
       Gabriel Chelu <remusgabriel.chelu@disroot.org>

       Aceasta traducere este documenta<?>ie gratuita; citi<?>i Licen<?>a
       publica generala GNU Versiunea 3
       <https://www.gnu.org/licenses/gpl-3.0.html> sau o versiune ulterioara
       cu privire la condi<?>ii privind drepturile de autor.  NU se asuma
       NICIO RESPONSABILITATE.

       Daca gasi<?>i erori in traducerea acestui manual, va rugam sa
       trimite<?>i un e-mail la <translation-team-ro@lists.sourceforge.net>.

Pagini de manual de Linux 6.18 8 februarie 2026                Capacita<?>i(7)