Проектът Landrun развива непривилегирована система за изолация на приложения

Проект Landrun започна разработката на нова система за изолирано изпълнение на отделни приложения. За изолацията е използван LSM-модулът на Linux ядрото Landlock, който позволява да се избегне изпълнението на привилегировани операции по време на създаването на sandbox среда. По своите задачи Landrun е близък до утилитата Firejail, но се отличава с по-проста реализация, ниско тегло и възможността за работа под обикновен непривилегирован потребител без необходимост от флаг suid. Кодът на проекта е написан на Go и се разпространява под лиценцията GPLv2.

Механизмът Landlock позволява на непривилегированите програми да ограничат използването на ядрени обекти на Linux, като файлови хиерархии, мрежови сокети и ioctl. В отличие от пространствата с имена и филтрирането на системните извиквания, изолираната среда се формира от Linux ядрото във форма на допълнителен слой над съществуващите механизми за управление на достъпа. За взаимодействие с подсистемата Landlock в утилитата landrun се използва библиотеката go-landlock от разработчиците на LandLock.

Landrun позволява да се намали рискът от компрометиране на основната система при стартиране на ненадеждни или потенциално уязвими програми. Между възможностите е поддръжката на селективно ограничаване на достъпа на ниво отделни директории, свързване на правомощията с пътищата на файловете (разрешение или забрана за четене, запис и изпълнение) и контрол върху инициирането и приемането на TCP-соединения.

Например, с помощта на Landrun на процеса може да се забрани стартирането на изпълними файлове, да се разреши запис само в отделен подкаталог с данни, да се забрани създаването на слушащи сокети за приемане на мрежови съединения и да се разреши изпращането на мрежови заявки само на определени TCP портове. В най-простия случай за забрана на запис, стартиране и мрежови възможности програмата може да се изпълни с командата «landrun —ro /», а за изолиране на nginx може да се използва: landrun —rox /usr/bin —ro /lib,/lib64,/var/www —rwx /var/log —bind-tcp 80,443 /usr/bin/nginx

В плановете за бъдещето се споменава разширено управление на достъпа до файловата система, поддръжка на UDP и управление на ресурсите на процесите. За ограничаване на достъпа на ниво файловата система е необходимо поне ядро Linux 5.13, а за мрежовите ограничения — 6.8.

Допълнително трябва да се отбележи, че в кодовата база на Firejail вече са приети промени, които позволяват използването на подсистемата на ядрото Landlock за изолация без suid-бит и повишаване на привилегиите, но релиз с тази поддръжка все още не е публикуван.

Източник: opennet.ru