Das Landrun-Projekt entwickelt ein privilegienfreies System zur Isolierung von Anwendungen

Das Projekt Landrun hat die Entwicklung eines neuen Systems für die isolierte Ausführung einzelner Anwendungen begonnen. Zur Isolation wird das LSM-Modul des Linux-Kernels Landlock verwendet, das es ermöglicht, ohne den Einsatz privilegierter Operationen eine Sandbox-Umgebung zu erstellen. In seinen Funktionen ähnelt Landrun dem Dienstprogramm Firejail, unterscheidet sich jedoch durch eine einfachere Implementierung, Leichtgewichtigkeit und die Möglichkeit, unter einem normalen, unprivilegierten Benutzer ohne SUID-Flag zu arbeiten. Der Code des Projekts ist in der Programmiersprache Go geschrieben und wird unter der GPLv2-Lizenz vertrieben.

Der Landlock-Mechanismus ermöglicht es unprivilegierten Programmen, die Nutzung von Objekten des Linux-Kernels, wie z. B. Dateihierarchien, Netzwerksockets und ioctl, einzuschränken. Im Gegensatz zu Namespaces und der Filterung von Systemaufrufen wird die isolierte Umgebung vom Linux-Kernel in Form einer zusätzlichen Schicht über den bestehenden Systemzugriffsmechanismen gebildet. Für die Interaktion mit dem Landlock-Subsystem verwendet das Dienstprogramm landrun die go-landlock-Bibliothek der Entwickler von LandLock.

Landrun reduziert das Risiko der Kompromittierung des Hauptsystems beim Ausführen von nicht vertrauenswürdigen oder potenziell anfälligen Programmen. Zu den Funktionen gehört die Unterstützung von selektiven Zugriffssteuerungen auf katalogübergreifender Ebene, die Bindung von Rechten an Dateipfade (Erlauben oder Verhindern von Lesen, Schreiben und Ausführen) sowie die Kontrolle über die Initiierung und den Empfang von TCP-Verbindungen.

Zum Beispiel kann mit Hilfe von Landrun einem Prozess das Ausführen von Executables untersagt, das Schreiben nur in einen bestimmten Datenunterordner erlaubt, das Erstellen von Listening-Sockets für den Empfang von Netzwerkverbindungen untersagt und das Senden von Netzwerk-Anfragen nur an bestimmte TCP-Ports erlaubt werden. Im einfachsten Fall kann man mit dem Befehl "landrun —ro /" das Schreiben, Starten und Netzwerkfähigkeiten verbieten, während für die Isolation von nginx folgendes verwendet werden kann: landrun —rox /usr/bin —ro /lib,/lib64,/var/www —rwx /var/log —bind-tcp 80,443 /usr/bin/nginx.

In den zukünftigen Plänen wird eine erweiterte Zugriffskontrolle auf das Dateisystem, die Unterstützung von UDP und das Ressourcenmanagement von Prozessen erwähnt. Für die Einschränkung des Zugriffs auf das Dateisystem ist mindestens der Kernel Linux 5.13 erforderlich, und für Netzwerkbeschränkungen 6.8.

Zusätzlich kann erwähnt werden, dass Änderungen in den Firejail-Code übernommen wurden, die die Nutzung des Landlock-Kernelsubsystems zur Isolierung ohne SUID-Bit und zur Erhöhung von Rechten ermöglichen, aber die Veröffentlichung mit dieser Unterstützung steht noch aus.

Quelle: opennet.ru