Linux Capabilities.

Linux-Kernel-Funktion auf Basis des POSIX.1e-Entwurfs, die das allmachtige Root-Privileg in mehr als 40 diskrete Capabilities aufteilt, die Prozessen und Dateien separat zugewiesen werden. Es gehört zur Kategorie Identität und Zugriff der Cybersicherheit.

Linux-Kernel-Funktion auf Basis des POSIX.1e-Entwurfs, die das allmachtige Root-Privileg in mehr als 40 diskrete Capabilities aufteilt, die Prozessen und Dateien separat zugewiesen werden.

Linux Capabilities wurden mit Kernel 2.2 eingefuhrt, um die binare Trennung zwischen unprivilegiertem Benutzer und allmachtigem Root aufzubrechen. Der Kernel stellt rund 40 diskrete Privilegien bereit — CAP_NET_BIND_SERVICE, CAP_SYS_ADMIN, CAP_NET_ADMIN, CAP_DAC_OVERRIDE, CAP_SYS_PTRACE usw. —, die Prozessen vergeben oder als File Capabilities an Programme angeheftet werden konnen. Sie folgen dem POSIX.1e-Entwurf. Die Userspace-Tools von libcap umfassen capsh (Capability-Set einer Shell prufen und andern), getcap und setcap (Datei-Capabilities lesen oder setzen) sowie getpcaps. Container-Runtimes wie Docker und containerd vergeben standardmassig nur eine Teilmenge (kein CAP_SYS_ADMIN, aber CAP_NET_BIND_SERVICE), und die Pod Security Standards von Kubernetes schranken sie weiter ein. Capabilities sind die Grundlage von Least-Privilege auf Linux-Servern und CNCF-typischen Workloads.

Schutzmaßnahmen gegen Linux Capabilities kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

Übliche alternative Bezeichnungen: POSIX-Capabilities, Linux Caps.