FreeBSD tiek izstrādāts izolācijas mehānisms, kas līdzīgs plegde

Atklājās, ka ir ierosināta īstenošana līdz lietojumprogrammu izolācijas mehānisms FreeBSD, kas atgādina OpenBSD projekta izstrādātos sistēmas izsaukumus fold and unveil.

Plegde izolēšana tiek veikta, aizliedzot piekļuvi sistēmas izsaukumiem, kurus lietojumprogramma neizmanto, un atklājot, selektīvi atverot piekļuvi tikai noteiktiem failu ceļiem, ar kuriem lietojumprogramma var strādāt. Lietojumprogrammai tiek izveidots sava veida sistēmas izsaukumu un failu ceļu baltais saraksts, un visi citi izsaukumi un ceļi ir aizliegti.

Atšķirība starp salocītu un atklātu, izstrādāts FreeBSD, tas izpaužas kā papildu slāņa nodrošināšana kas ļauj izolēt lietojumprogrammas bez izmaiņām vai minimālām izmaiņām to kodā. Atcerieties, ka OpenBSD plegde un unlock mērķis ir cieši integrēties ar bāzes vidi un tiek īstenoti, pievienojot katras lietojumprogrammas kodam īpašas anotācijas.

Lai vienkāršotu aizsardzības organizēšanu, filtri ļauj izvairīties no detaļām atsevišķu sistēmas izsaukumu līmenī un manipulēt ar sistēmas izsaukumu klasēm (ievade/izvade, failu lasīšana, failu rakstīšana, ligzdas, ioctl, sysctl, procesu sākšana utt.) . Piekļuves ierobežošanas funkcijas var izsaukt lietojumprogrammas kodā, jo tiek veiktas noteiktas darbības, piemēram, piekļuve ligzdām un failiem var tikt slēgta pēc nepieciešamo failu atvēršanas un tīkla savienojuma izveides.

FreeBSD locīšanas un atklāšanas porta autors paredzēts, lai nodrošinātu iespēju izolēt patvaļīgas lietojumprogrammas, kurai tiek piedāvāta aizkaru utilīta, kas ļauj lietojumprogrammām piemērot noteikumus, kas definēti atsevišķā failā. Piedāvātā konfigurācija ietver failu ar pamata iestatījumiem, kas nosaka sistēmas izsaukumu klases un tipiskus failu ceļus, kas raksturīgi noteiktām lietojumprogrammām (darbs ar skaņu, tīkli, reģistrēšana utt.), kā arī failu ar piekļuves noteikumiem konkrētām lietojumprogrammām.

Aizkaru utilītu var izmantot, lai izolētu lielāko daļu utilītu, servera procesu, grafisko lietojumprogrammu un pat visas darbvirsmas sesijas, kas nav mainītas. Tiek atbalstīta koplietošanas aizkars ar izolācijas mehānismiem, ko nodrošina apakšsistēmas Jail un Capsicum.

arī ir iespējams organizēt ligzdotu izolāciju, palaižot lietojumprogrammas, tās pārmanto vecāklietojumprogrammas noteiktos noteikumus, papildinot tos ar atsevišķiem ierobežojumiem. Dažas kodola darbības (atkļūdošanas rīki, POSIX/SysV IPC, PTY) ir papildus aizsargātas ar barjeras mehānismu, kas neļauj piekļūt kodola objektiem, ko izveidojuši procesi, kas nav pašreizējais vai vecākprocess.

Process var konfigurēt savu izolāciju, izsaucot curtainctl vai izmantojot funkcijas plegde() un unveil(), ko nodrošina libcurtain bibliotēka, līdzīgi kā OpenBSD. Sysctl “security.curtain.log_level” tiek nodrošināts, lai izsekotu bloķēšanu, kamēr lietojumprogramma darbojas.

Piekļuve X11 un Wayland protokoliem tiek iespējota atsevišķi, norādot "-X"/"-Y" un "-W" opcijas, startējot aizkaru, taču atbalsts grafiskajām lietojumprogrammām vēl nav pietiekami stabilizēts un tam ir virkne neatrisinātu problēmu ( problēmas rodas galvenokārt, izmantojot X11, un Wayland atbalsts ir daudz labāks). Lietotāji var pievienot papildu ierobežojumus, izveidojot vietējo noteikumu failus (~/.curtain.conf). Piemēram,

Ieviešanā ietilpst mac_curtain kodola modulis obligātajai piekļuves kontrolei (MAC), FreeBSD kodola ielāpu komplekts ar nepieciešamo draiveru un filtru ieviešanu, libcurtain bibliotēka plegde un atklāto funkciju izmantošanai lietojumprogrammās, utilīta aizkars, parāda konfigurāciju. failus, testu komplektu un ielāpus dažām lietotāja telpas programmām (piemēram, lai izmantotu $TMPDIR, lai vienotu darbu ar pagaidu failiem). Kad vien iespējams, autors cenšas samazināt to izmaiņu skaitu, kurām nepieciešams kodola un lietojumprogrammu ielāpojums.

Beidzot ja jūs interesē uzzināt vairāk par to, varat pārbaudīt informāciju Šajā saitē.


Raksta saturs atbilst mūsu principiem redakcijas ētika. Lai ziņotu par kļūdu, noklikšķiniet uz šeit.

Esi pirmais, kas komentārus

Atstājiet savu komentāru

Jūsu e-pasta adrese netiks publicēta.

*

*

  1. Atbildīgais par datiem: Migels Ángels Gatóns
  2. Datu mērķis: SPAM kontrole, komentāru pārvaldība.
  3. Legitimācija: jūsu piekrišana
  4. Datu paziņošana: Dati netiks paziņoti trešām personām, izņemot juridiskus pienākumus.
  5. Datu glabāšana: datu bāze, ko mitina Occentus Networks (ES)
  6. Tiesības: jebkurā laikā varat ierobežot, atjaunot un dzēst savu informāciju.