Für FreeBSD wird ein Isolationsmechanismus entwickelt, der ähnlich wie pledge und unveil ist

Für FreeBSD wurde eine Implementierung eines Mechanismus zur Isolation von Anwendungen vorgeschlagen, der den system calls plegde und unveil ähnlich ist, die im Rahmen des OpenBSD-Projekts entwickelt werden. Die Isolation in plegde erfolgt durch das Verbot des Zugriffs auf nicht verwendete system calls der Anwendung, während unveil den selektiven Zugriff nur auf bestimmte Dateiwege ermöglicht, mit denen die Anwendung arbeiten kann. Für die Anwendung wird eine Art Whitelist von system calls und Dateiwegen erstellt, und alle anderen Aufrufe und Wege werden verboten.

Der Unterschied zwischen dem für FreeBSD entwickelten Pendant von plegde und unveil besteht darin, dass eine zusätzliche Schicht bereitgestellt wird, die es ermöglicht, Anwendungen ohne Änderungen am Code oder mit minimalen Änderungen zu isolieren. Es sei daran erinnert, dass in OpenBSD plegde und unveil auf eine enge Integration mit der Basisumgebung abzielen und durch spezielle Annotationen im Code jeder Anwendung angewendet werden. Um die Organisation des Schutzes zu vereinfachen, erlauben die Filter, ohne Detaillierung auf der Ebene einzelner system calls zu arbeiten und Klassen von system calls (Ein/Ausgabe, Datei lesen, Datei schreiben, Sockets, ioctl, sysctl, Prozesse starten usw.) zu manipulieren. Funktionen zur Zugriffsbeschränkung können im Code der Anwendung während der Ausführung bestimmter Aktionen aufgerufen werden, beispielsweise kann der Zugriff auf Sockets und Dateien nach dem Öffnen der benötigten Dateien und der Herstellung einer Netzwerkverbindung geschlossen werden.

Der Autor des Ports plegde und unveil für FreeBSD beabsichtigt, die Isolation beliebiger Anwendungen zu ermöglichen. Zu diesem Zweck wurde das Dienstprogramm curtain vorgeschlagen, das es ermöglicht, Regeln, die in einer separaten Datei definiert sind, auf Anwendungen anzuwenden. Die vorgeschlagene Konfiguration umfasst eine Datei mit grundlegenden Einstellungen, die Klassen von system calls und typische Dateiwege definieren, die spezifisch für bestimmte Anwendungen sind (Arbeiten mit Audio, Netzwerkinteraktion, Protokollausgabe usw.), sowie eine Datei mit Zugriffsregeln für spezifische Anwendungen.

Das Utility curtain kann zur Isolierung der meisten unmodifizierten Utilities, Server-Prozesse, grafischen Anwendungen und sogar ganzer Desktop-Sitzungen verwendet werden. Die gemeinsame Nutzung von curtain mit den Isolationsmechanismen, die von den Jail- und Capsicum-Subsystemen bereitgestellt werden, wird unterstützt. Auch die Einrichtung einer verschachtelten Isolierung ist möglich, bei der die gestarteten Anwendungen die dem übergeordneten Anwendung festgelegten Regeln erben und diese mit eigenen Einschränkungen ergänzen. Einige Kernel-Operationen (Debugging-Tools, POSIX/SysV IPC, PTYs) werden zusätzlich durch Barriere-Mechanismen geschützt, die den Zugriff auf Kernobjekte, die nicht vom aktuellen oder übergeordneten Prozess erstellt wurden, verhindern.

Der Prozess kann seine eigene Isolation selbst konfigurieren, indem er curtainctl aufruft oder die von der Bibliothek libcurtain bereitgestellten Funktionen plegde() und unveil() verwendet, die den ähnlichen Funktionen aus OpenBSD entsprechen. Um Sperren während der Ausführung der Anwendung nachverfolgen zu können, steht der sysctl ‘security.curtain.log_level’ zur Verfügung. Der Zugang zu den Protokollen von X11 und Wayland wird separat durch die Angabe von Optionen «-X»/«-Y» und «-W» beim Start von curtain aktiviert, jedoch ist die Unterstützung grafischer Anwendungen noch nicht ausreichend stabil und weist eine Reihe von ungelösten Problemen auf (Probleme treten hauptsächlich bei der Verwendung von X11 auf, während die Unterstützung von Wayland deutlich besser implementiert ist). Benutzer können zusätzliche Einschränkungen durch das Erstellen lokaler Regeldateien (~/.curtain.conf) hinzufügen. Beispielsweise kann man für das Erlauben von Schreibzugriffen aus Firefox nur auf das Verzeichnis ~/Downloads/ einen Abschnitt «[firefox]» mit der Regel «~/Downloads/: rw +» hinzufügen.

Die Implementierung umfasst das Kernel-Modul mac_curtain für Mandatory Access Control (MAC), eine Reihe von Patches für den FreeBSD-Kernel zur Implementierung der erforderlichen Handler und Filter, die Bibliothek libcurtain zur Nutzung der Funktionen plegde und unveil in Anwendungen, das Utility curtain, Beispiele für Konfigurationsdateien, eine Testreihe und Patches für einige Programme im Benutzerraum (zum Beispiel zur Verwendung von $TMPDIR mit dem Ziel, die Arbeit mit temporären Dateien zu vereinheitlichen). Der Autor beabsichtigt, die Anzahl der Änderungen, die Patches für Kernel und Anwendungen erfordern, nach Möglichkeit zu minimieren.

Quelle: opennet.ru