За FreeBSD се разработва механизъм за изолация, подобен на pledge и unveil.

За FreeBSD е предложена реализация на механизъм за изолация на приложения, наподобяващ системните извиквания plegde и unveil, разработвани от проекта OpenBSD. Изолацията в plegde се осъществява чрез забрана за достъп до неизползвани в приложението системни извиквания, а в unveil чрез селективно отваряне на достъпа само до определени файлови пътища, с които приложението може да работи. За приложението се съставя подобие на бял списък на системни извиквания и файлови пътища, а всички останали извиквания и пътища се забраняват.

Различието на разработвания аналог на plegde и unveil за FreeBSD се свежда до предоставяне на допълнителен слой, който позволява изолация на приложения без промяна в техния код или с минимални изменения. Напомняме, че в OpenBSD plegde и unveil са насочени към тясна интеграция с основната среда и се използват чрез добавяне на специални анотации в кода на всяко приложение. За улесняване на организацията на защитата филтрите позволяват да се мине без детайлност на ниво отделни системни извиквания и манипулират класовете на системните извиквания (вход/изход, четене на файлове, запис на файлове, сокети, ioctl, sysctl, стартиране на процеси и т.н.). Функции за ограничаване на достъпа могат да се извикват в кода на приложението при изпълнение на определени действия, например, достъпът до сокети и файлове може да бъде затворен след отварянето на нужните файлове и установяването на мрежова връзка.

Авторът на порта plegde и unveil за FreeBSD има намерение да предостави възможност за изолация на произволни приложения, за което е предложена утилита curtain, позволяваща да се прилагат към приложения правила, определени в отделен файл. Предложената конфигурация включва файл с основни настройки, определящи класовете на системните извиквания и типичните файлови пътища, специфични за определени приложения (работа със звук, мрежово взаимодействие, запис в лог и т.н.), а също така и файл с правила за достъп на конкретни приложения.

Утилитата curtain може да се използва за изолация на повечето немодифицирани утилити, сървърни процеси, графични приложения и дори цели сесии на работния плот. Поддържа се съвместно използване на curtain с механизми за изолация, предоставени от подсистемите Jail и Capsicum. Също така е възможна организация на вложена изолация, при която стартираните приложения наследяват установените правила от родителското приложение, допълвайки ги с отделни ограничения. Някои операции на ядрото (средства за отстраняване на грешки, POSIX/SysV IPC, PTYs) допълнително се защитават с механизма на бариерите, който не позволява достъп до обекти на ядрото, създадени от не текущия или родителския процес.

Процесът може самостоятелно да настрои собствената си изолация, като извика curtainctl или използва предоставените функции от библиотеката libcurtain, als pledge() и unveil(), аналогични на подобни функции от OpenBSD. За проследяване на блокировките по време на работа на приложението е предвиден sysctl ‘security.curtain.log_level’. Достъпът до протоколите X11 и Wayland се активира отделно чрез указване на опции при стартиране на curtain - ‘-X’/‘-Y’ и ‘-W’, но поддръжката на графични приложения все още не е достатъчно стабилна и има редица нерешени проблеми (проблемите основно се проявяват при използване на X11, а поддръжката на Wayland е реализирана значително по-добре). Потребителите могат да добавят допълнителни ограничения чрез създаване на локални файлове с правила (~/.curtain.conf). Например, за разрешаване на запис от Firefox само в директория ~Downloads/ може да се добави секция “[firefox]” с правило “~/Downloads/: rw +”.

Реализацията включва модул за ядрото mac_curtain за мандатен контрол на достъпа (MAC, Mandatory Access Control), набор от пачове за ядрото FreeBSD с реализирани необходимите обработчици и филтри, библиотека libcurtain за използване на функциите pledge и unveil в приложения, утилита curtain, примери за конфигурационни файлове, набор от тестове и пачове за някои програми в потребителското пространство (например, за използване на $TMPDIR с цел унифициране на работата с временни файлове). По възможност авторът има намерение да минимизира броя на промените, които изискват приложение на пачове към ядрото и приложенията.

Източник: opennet.ru