Mae prosiect Landrun wedi dechrau datblygu system newydd ar gyfer gweithredu cymwysiadau unigol ar wahΓ’n. Cyflawnir yr ynysu hwn gan ddefnyddio modiwl cnewyllyn LSM. Linux Landlock, sy'n dileu'r angen am weithrediadau breintiedig wrth greu amgylchedd blwch tywod. Mae Landrun yn debyg i Firejail o ran ei ymarferoldeb, ond mae ganddo weithrediad symlach, mae'n ysgafn, a gall redeg o dan ddefnyddiwr safonol, heb freintiau heb fod angen suid. Mae cod y prosiect wedi'i ysgrifennu yn Go ac mae wedi'i drwyddedu o dan y drwydded GPLv2.
Mae mecanwaith Landlock yn caniatΓ‘u i raglenni difraint gyfyngu ar eu defnydd o wrthrychau cnewyllyn. Linux, fel hierarchaethau ffeiliau, socedi rhwydwaith, ac ioctl. Yn wahanol i ofodau enwau a hidlo galwadau system, mae'r amgylchedd ynysig yn cael ei greu gan y cnewyllyn. Linux fel haen ychwanegol ar ben mecanweithiau rheoli mynediad system sy'n bodoli eisoes. I ryngweithio ag is-system Landlock, mae'r cyfleustodau landrun yn defnyddio'r llyfrgell go-landlock gan ddatblygwyr LandLock.
Mae Landrun yn helpu i leihau'r risg o beryglu'r brif system wrth redeg rhaglenni nad ydynt yn ymddiried ynddynt neu raglenni a allai fod yn agored i niwed. Mae'r galluoedd yn cynnwys cefnogaeth ar gyfer cyfyngiadau mynediad detholus ar lefel cyfeiriaduron unigol, rhwymo caniatΓ’d i ffeilio llwybrau (caniatΓ’d neu wahardd darllen, ysgrifennu a gweithredu) a rheolaeth dros gychwyn a derbyn cysylltiadau TCP.
Er enghraifft, gan ddefnyddio Landrun, gallwch atal proses rhag rhedeg ffeiliau gweithredadwy, caniatΓ‘u ysgrifennu i is-gyfeiriadur ar wahΓ’n gyda data yn unig, atal creu socedi gwrando ar gyfer derbyn cysylltiadau rhwydwaith, a chaniatΓ‘u anfon ceisiadau rhwydwaith i borthladdoedd TCP penodedig yn unig. Yn yr achos symlaf, i wahardd galluoedd recordio, lansio a rhwydwaith, gellir gweithredu'r rhaglen gyda'r gorchymyn "landrun --ro /", ac i ynysu nginx, gallwch ddefnyddio: landrun --rox / usr/bin --ro /lib,/lib64,/var/www --rwx /var/log --bind-tcp 80,443nus /
Mae cynlluniau ar gyfer y dyfodol yn cynnwys rheolaeth mynediad system ffeiliau well, cefnogaeth UDP, a rheoli adnoddau prosesau. Mae angen o leiaf y cnewyllyn ar gyfer rheolaeth mynediad ar lefel system ffeiliau. Linux 5.13, ac ar gyfer cyfyngiadau rhwydwaith - 6.8.
Yn ogystal, mae'n werth nodi bod cronfa god Firejail eisoes wedi'i diweddaru i ganiatΓ‘u defnyddio is-system cnewyllyn Landlock ar gyfer ynysu di-sudd a dwysΓ‘u braint, ond nid yw datganiad gyda'r gefnogaeth hon wedi'i gyhoeddi eto.
Ffynhonnell: opennet.ru
