Se lier à des ports inférieurs à 1024 sans accès root

Bien sûr, c'est possible. Il suffit de donner au binaire CAP_NET_BIND_SERVICE.

sudo setcap cap_net_bind_service=ep some-binary

Dans Linux, les choses que la racine peut faire ont été divisées en un ensemble de capacités. CAP_NET_BIND_SERVICE est la capacité de se lier aux ports <= 1024.

Il est probablement possible d'utiliser AppArmor, SELinux ou un autre module de sécurité Linux (LSM) pour autoriser le programme à lier ce port en particulier, mais je pense que ce serait une perte de temps. La sécurité n'est plus vraiment basée sur les numéros de port comme elle l'était dans un passé lointain.

Voici un script pour OSX qui redirige les ports 80 et 443 vers des ports non privilégiés :

echo " 
rdr pass inet proto tcp from any to any port 80 -> 127.0.0.1 port 8080
rdr pass inet proto tcp from any to any port 443 -> 127.0.0.1 port 8443
" | sudo pfctl -ef -

Je pense qu'il y a un moyen de le faire mais je ne suis pas sûr à 100% que cela fonctionnerait.

c'est la liaison du port qui nécessite l'utilisateur root, pas l'application qui l'utilise, donc la méthode ci-dessous peut fonctionner mais vous devez avoir un accès sudo en premier lieu.

Tout d'abord, vous démarrez votre processus en tant qu'utilisateur root en utilisant sudo myApp Une fois que le port a été lié, vous pouvez changer le propriétaire du processus en un utilisateur non privilégié.

Je me souviens vaguement d'une bibliothèque appelée "authbind" qui fait ce dont vous avez besoin, en enveloppant l'appel système bind() (via une bibliothèque LD_PRELOAD) et, si un port privilégié est demandé, en lançant un programme root setuid qui reçoit une copie du descripteur de fichier, puis vérifie que l'application est effectivement autorisée à se lier au port, exécute le bind() et sort.

Je ne suis pas sûr de l'état d'avancement du projet, mais la méthode devrait être assez simple à (re)mettre en œuvre si nécessaire.