java equivalent per mkstemp

Question

C'è qualche modo in Java per scrivere in un file temporaneo in modo sicuro?

Per quanto posso dire, l'unico modo per creare un file temporaneo (createTempFile) does't realtà aprirlo, allo stesso tempo, quindi c'è una condizione di competizione tra file aperto & scrittura file. Mi sto perdendo qualcosa? Non sono riuscito a trovare il codice sorgente C dietro createFileExclusively (String) in UnixFileSystem.java, ma dubito che possa davvero fare qualcosa dato che il file aperto si verifica nel codice Java dopo la creazione del file temporaneo (a meno che non provi a fare qualcosa con serrature di file?).

Il problema

Tra quando viene creato il file temporaneo & lo si apre, un malintenzionato potrebbe scollegare quel file temporanei & mettere roba dannoso lì. Ad esempio, un utente malintenzionato potrebbe creare una named pipe per leggere dati sensibili. Analogamente, se alla fine copi il file leggendolo, la pipa denominata potrebbe ignorare tutto ciò che è stato scritto, &, fornire contenuti dannosi da leggere.

Ricordo di aver letto numerosi esempi di attacchi di file temporanei negli ultimi 10 anni che sfruttano la condizione di competizione tra quando il nome appare nello spazio dei nomi e quando il file viene effettivamente aperto.

Speriamo che un fattore attenuante è che Java impostato è l'umask correttamente in modo che un utente con meno privilegi non può leggere/scrittura al file e in genere nella directory/tmp limita i permessi correttamente in modo che non è possibile eseguire un attacco unlink.

Ovviamente se si passa una directory personalizzata per il file temporaneo di proprietà di un utente con privilegi inferiori che è stato compromesso, l'utente potrebbe eseguire un attacco di scollegamento contro di voi. Cavolo, con inotify, è probabilmente ancora più facile sfruttare la condizione della competizione che un semplice loop di forza bruta che fa un elenco di directory.

Answer 1

Ricordare che su molti sistemi, solo perché un file non ha un nome non significa affatto che sia inaccessibile. Ad esempio, su Linux i descrittori di file aperti sono disponibili in /proc/<pid>/fd/<fdno>. Quindi assicurati che il tuo uso di file temporanei sia sicuro anche se qualcuno conosce/ha un riferimento al file aperto.

È possibile ottenere una risposta più utile se si specificano esattamente le classi di attacchi che si tenta di impedire.

Answer 2

Sicuro rispetto ad altri ID utente ordinari? Sì, su qualsiasi sistema multiutente funzionante correttamente.

Sicuro contro l'utente o il superutente? No.

Answer 3

http://kurt.seifried.org/2012/03/14/creating-temporary-files-securely/

Java

uso java.io.File.createTempFile() - alcune interessanti informazioni a http://www.veracode.com/blog/2009/01/how-boring-flaws-become-interesting/

per le directory c'è un messaggio di aiuto a How to create a temporary directory/folder in Java?

Java 7

per i file utilizzare java.io.File.createTempFile()

per le directory utilizzare createTempDirectory()

http://docs.oracle.com/javase/7/docs/api/java/nio/file/Files.html

Answer 4

Dal Java 7 che abbiamo OpenOption.

Un oggetto che configura come aprire o creare un file.

Oggetti di questo tipo sono utilizzati da metodi come newOutputStream, newByteChannel, FileChannel.open e AsynchronousFileChannel.open durante l'apertura o la creazione di un file.

Di particolare interesse è StandardOpenOptions.CREATE_NEW.

Creare un nuovo file, in mancanza se il file esiste già. Il controllo dell'esistenza del file e la creazione del file, se non esiste, è atomico rispetto ad altre operazioni del file system.

Quindi, si può fare qualcosa di simile:

FileChannel mkstemp() { 
    Path path = Files.createTempFile(null, null); 
    Files.delete(path); 
    return FileChannel.open(path, WRITE, CREATE_NEW); 
} 

Attuare lo stesso comportamento modello è lasciato come esercizio al lettore.