Проектът Landrun развива непривилегирована система за изолация на приложения

Проект Landrun започна разработката на нова система за изолирано изпълнение на отделни приложения. За изолация се използва LSM модулът на ядрото Linux Landlock, който позволява да се избегне извършването на привилегировани операции по време на създаването на sandbox околна среда. По своите функции Landrun е близък до утилитата Firejail, но се отличава с по-проста реализация, лекота и възможност за работа под обикновен непривилегирован потребител без необходимост от флаг suid. Кодът на проекта е написан на език Go и се разпространява под лиценз GPLv2.

Механизмът Landlock позволява на непривилегировани програми да ограничат използването на обекти от ядрото на Linux, като файлови йерархии, мрежови сокети и ioctl. За разлика от пространствата на имена и филтрирането на системни повиквания, изолираната околна среда се създава от ядрото на Linux под формата на допълнителен слой върху съществуващите механизми за управление на достъпа. За взаимодействие с подсистемата Landlock в утилитата landrun се използва библиотеката go-landlock от разработчиците на LandLock.

Landrun позволява да се намали рискът от компрометиране на основната система при стартиране на ненадеждни или потенциално уязвими програми. Сред функциите е налична поддръжка за селективно ограничение на достъпа на ниво отделни директории, свързване на правомощията с файлови пътища (разрешаване или забрана на четене, запис и изпълнение) и контрол над инициирането и приемането на TCP връзки.

Например, с помощта на Landrun можете да забраните стартирането на изпълними файлове, да разрешите запис само в определена поддиректория с данни, да забраните създаването на слушащи сокети за приемане на мрежови връзки и да разрешите изпращането на мрежови заявки само на определени TCP портове. В най-простия случай, за да забраните запис, стартиране и мрежови възможности, можете да изпълните командата "landrun —ro /", а за изолация на nginx можете да използвате: landrun —rox /usr/bin —ro /lib,/lib64,/var/www —rwx /var/log —bind-tcp 80,443 /usr/bin/nginx

В бъдещите планове се споменава за разширено управление на достъпа до файловата система, поддръжка на UDP и управление на ресурсите на процесите. За ограничаване на достъпа на нивото на файловата система е необходимо поне ядро Linux 5.13, а за мрежови ограничения — 6.8.

Допълнително може да се отбележи, че в кода на Firejail вече са приети промени, които позволяват използването на подсистемата на ядрото Landlock за изолация без suid-бит и повишаване на привилегиите, но версията с тази поддръжка все още не е публикувана.

Източник: opennet.ru