За FreeBSD се разработва механизъм за изолация, подобен на plegde и unveil

За FreeBSD се предлага внедряване на механизъм за изолиране на приложения, напомнящ на системните повиквания plegde и unveil, разработени от проекта OpenBSD. Изолацията в plegde се постига чрез забрана на достъпа до системни извиквания, които не се използват в приложението, а в unveil чрез селективно отваряне на достъп само до отделни файлови пътища, с които приложението може да работи. За приложението се формира нещо като бял списък със системни повиквания и пътеки към файлове, а всички останали повиквания и пътища са забранени.

Разликата между аналога на plegde и unveil, разработен за FreeBSD, се свежда до предоставянето на допълнителен слой, който ви позволява да изолирате приложения, без да правите промени в техния код или с минимални промени. Спомнете си, че в OpenBSD, plegde и unveil са насочени към тясна интеграция с основната среда и се използват чрез добавяне на специални анотации към кода на всяко приложение. За да опростите организацията на защитата, филтрите ви позволяват да се откажете от подробности на ниво отделни системни повиквания и да манипулирате класове системни повиквания (вход/изход, четене на файлове, писане на файлове, сокети, ioctl, sysctl, стартиране на процес и т.н.) . Функциите за ограничаване на достъпа могат да бъдат извикани в кода на приложението, когато се изпълняват определени действия, например достъпът до сокети и файлове може да бъде отказан след отваряне на необходимите файлове и установяване на мрежова връзка.

Авторът на порта на plegde и unveil за FreeBSD възнамерява да предостави възможност за изолиране на произволни приложения, за които е предложена помощната програма curtain, която ви позволява да прилагате правила, дефинирани в отделен файл към приложения. Предложената конфигурация включва файл с основни настройки, които определят класове системни повиквания и типични файлови пътища, специфични за определени приложения (работа със звук, взаимодействие с мрежата, логване и т.н.), както и файл с правила за достъп за конкретни приложения.

Помощната програма curtain може да се използва за изолиране на повечето немодифицирани помощни програми, сървърни процеси, графични приложения и дори цели сесии на работния плот. Завесата може да се използва заедно с изолационните механизми, предоставени от подсистемите Jail и Capsicum. Също така е възможно да се организира вложена изолация, когато стартираните приложения наследяват правилата, зададени за родителското приложение, като ги допълват с индивидуални ограничения. Някои операции на ядрото (съоръжения за отстраняване на грешки, POSIX/SysV IPC, PTY) са допълнително защитени от бариерен механизъм, който предотвратява достъпа до обекти на ядрото, които не са създадени от текущия или родителския процес.

Процесът може да конфигурира своя собствена изолация, като извика curtainctl или като използва функциите plegde() и unveil() на libcurtain, подобни на тези в OpenBSD. За проследяване на заключвания, докато приложението работи, е предоставен sysctl 'security.curtain.log_level'. Достъпът до протоколите X11 и Wayland се активира отделно чрез указване на опциите „-X”/”-Y” и „-W” при стартиране на завеса, но поддръжката за графични приложения все още не е достатъчно стабилизирана и има редица неразрешени проблеми ( проблемите се появяват главно при използване на X11, а поддръжката на Wayland е реализирана много по-добре). Потребителите могат да добавят допълнителни ограничения чрез създаване на локални файлове с правила (~/.curtain.conf). Например, за да позволите писане от Firfox само в директорията ~/Downloads/, можете да добавите раздел „[firefox]“ с правилото „~/Downloads/ : rw +“.

Внедряването включва модула на ядрото mac_curtain за задължителен контрол на достъпа (MAC, Mandatory Access Control), набор от пачове за ядрото на FreeBSD с внедряване на необходимите манипулатори и филтри, библиотеката libcurtain за използване на функциите plegde и unveil в приложенията, помощната програма за завеса, примерни конфигурационни файлове, набор от тестове и пачове за някои програми в потребителското пространство (например за използване на $TMPDIR за уеднаквяване на работата с временни файлове). Където е възможно, авторът възнамерява да сведе до минимум броя на промените, които изискват корекции на ядрото и приложенията.

Източник: opennet.ru