За FreeBSD се разработва механизъм за изолация, подобен на plegde и unveil.

За FreeBSD е предложена реализация на механизма за изолация на приложения, наподобие системните повиквания pledge и unveil, разработени от проекта OpenBSD. Изолацията в pledge се осъществява чрез забрана на достъпа до неизползваемите в приложението системни повиквания, а в unveil чрез селективно отваряне на достъпа само за определени файлови пътища, с които приложението може да работи. За приложението се създава подобие на бял списък от системни повиквания и файлови пътища, а всички останали повиквания и пътища са забранени.

Разликата, свързана с разработвания аналог на pledge и unveil за FreeBSD, се свежда до предоставянето на допълнителен слой, който позволява изолацията на приложения без изменения в техния код или с минимални изменения. Напомняме, че в OpenBSD pledge и unveil целят тясна интеграция с основната среда и се прилагат чрез добавяне на специални анотации в кода на всяко приложение. За опростяване на организацията на защитата, филтрите позволяват да се обхванат класове на системните повиквания (вход/изход, четене на файлове, запис на файлове, сокети, ioctl, sysctl, стартиране на процеси и т.н.) без детайлизиране на нивото на отделните системни повиквания. Функциите за ограничаване на достъпа могат да се извикват в кода на приложението по време на извършването на определени действия, например, достъпът до сокети и файлове може да се затвори след отварянето на необходимите файлове и установяване на мрежова свързаност.

Авторът на порта pledge и unveil за FreeBSD има намерение да предостави възможност за изолация на произволни приложения, за което е предложен инструментът curtain, позволяващ прилагане на правила, зададени в отделен файл, върху приложенията. Предложената конфигурация включва файл с основни настройки, определящи класовете на системните повиквания и типичните файлови пътища, специфични за определени приложения (работа със звук, мрежова комуникация, логиране и т.н.), а също и файл с правила за достъп на конкретни приложения.

Инструментът curtain може да се прилага за изолация на повечето немодифицирани утилити, сървърни процеси, графични приложения и дори цялостни десктоп сесии. Поддържа се съвместно използване на curtain с механизмите за изолация, предоставяни от подсистемите Jail и Capsicum. Също така е възможна организация на вложена изолация, когато стартираните приложения наследяват правилата, зададени на родителското приложение, допълвайки ги с отделни ограничения. Някои операции на ядрото (инструменти за отстраняване на грешки, POSIX/SysV IPC, PTYs) се защитават допълнително с механизма на бариерите, който не позволява достъпа до обекти на ядрото, създадени не от текущия или родителския процес.

Процесът може самостоятелно да настрои собствената си изолация, като извика curtainctl или използва предоставените от библиотеката libcurtain функции plegde() и unveil(), аналогични на подобни функции от OpenBSD. За проследяване на блокировките по време на работа на приложението е предвиден sysctl ‘security.curtain.log_level’. Достъпът до протоколите X11 и Wayland се активира отделно чрез указание при стартиране на curtain с опции «-X»/«-Y» и «-W», но поддръжката на графични приложения все още не е достатъчно стабилизирана и има редица нерешени проблеми (проблемите се проявяват основно при използване на X11, а поддръжката на Wayland е реализирана значително по-добре). Потребителите могат да добавят допълнителни ограничения чрез създаване на локални файлове с правила (~/.curtain.conf). Например, за разрешаване на запис от Firefox само в директория ~ /Downloads/ може да добавите секция «[firefox]» с правило «~ /Downloads/ : rw +».

Реализацията включва модул на ядрото mac_curtain за мандатен контрол на достъпа (MAC, Mandatory Access Control), набор от пачове за ядрото FreeBSD с реализация на необходимите обработчици и филтри, библиотека libcurtain за използване на функциите plegde и unveil в приложения, утилита curtain, примери за конфигурационни файлове, набор от тестове и пачове за някои програми в потребителското пространство (например, за използване на $TMPDIR с цел унификация на работата с временни файлове). По възможност авторът има за цел да сведе до минимум броя на промените, за които е необходимо прилагане на пачове към ядрото и приложенията.

Източник: opennet.ru