Mechanizm chroot pozwala programom na nieodwracalną zmianę swojego postrzegania systemu plików, zmieniając położenie ich katalogu głównego (root). Kiedy program wybierze pewną część systemu plików na katalog główny, ta część z punktu widzenia programu staje się całym systemem plików reszta systemu plików przestaje istnieć. Rozwiązanie to może zapewnić bardzo wysoki poziom bezpieczeństwa, ale bynajmniej nie jest doskonałe. Programy nie muszą mieć dostępu do systemu plików, aby zrealizować swoje niegodziwe cele, zwłaszcza jeśli mają wiele innych przywilejów.
Modyfikacje środowiskowe, dokonywane za pomocą setuid/setgid i chroot, są dziedziczone przez wszystkie procesy podrzędne uruchamiane przez program. Częstą metodą ograniczania możliwości programów w hoście bastionowym jest użycie „nakładek” (wrapper) nakładki przeprowadzają operacje setuid/setgid lub chroot
i inne modyfikacje środowiska, a następnie wywołują właściwy program. Chrootu id jest jednym z programów używanych w tym celu informacje o sposobie jego uzyskiwania znajdziesz w dodatku B, „Narzędzia”.
a tylko tyle, że troszczy się o pieniądze. Jak na ironię, systemy operacyjne, o których krążą najmroczniejsze opowieści, mogą się okazać najbezpieczniejsze, ponieważ właśnie one są poprawiane.
Niektóre wersje Uniksa są specjalnie zaprojektowane pod kątem bezpieczeństwa i dlatego szczególnie nadają się do użycia w hostach bastionowych. Jednakże sformułowanie „zaprojektowany pod kątem bezpieczeństwa”, dla każdego producenta znaczy co innego. Mogą to być kosmetyczne zmiany w instalowanych pakietach (na przykład dystrybucja Linuksa Debian próbuje instalować się w bezpiecznej konfigu
racji, a dystrybucja Linuksa SuSE zawiera skrypt zabezpieczający system już po instalacji), ale również znaczne zmiany we „wnętrznościach” systemu (na przykład OpenBSD zawiera istotne zmiany we wszystkich częściach systemu operacyjnego). Niektórzy producenci komercyjni oferują zabezpieczone wersje swoich systemów operacyjnych, zaprojektowane tak, aby spełnić wymogi rządowe. Wersje te pozostają zazwyczaj w tyle za głównymi wydaniami (proces aprobowania systemów przez rząd jest dość powolny) i mogą nie obsługiwać wszystkich produktów dodatkowych. Z drugiej strony, ich funkcje ewidencyjne są bardzo przydatne w hostach bastionowych. Jeśli możesz sobie pozwolić na zwiększony wydatek i wydłużony proces uaktualniania, systemy te dobrze spełnią swoje zadanie w hostach bastionowych.
