{"id":122970,"date":"2025-03-25T10:22:49","date_gmt":"2025-03-25T08:22:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-landrun-razvivaet-neprivilegirovannuyu-sistemu-izolyaczii-prilozhenij"},"modified":"2025-03-25T10:22:49","modified_gmt":"2025-03-25T08:22:49","slug":"proekt-landrun-razvivaet-neprivilegirovannuyu-sistemu-izolyaczii-prilozhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/proekt-landrun-razvivaet-neprivilegirovannuyu-sistemu-izolyaczii-prilozhenij","title":{"rendered":"Das Landrun-Projekt entwickelt ein System zur Isolierung von Anwendungen ohne Privilegien.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Das Landrun-Projekt hat die Entwicklung eines neuen Systems f\u00fcr die isolierte Ausf\u00fchrung einzelner Anwendungen begonnen. Zur Isolierung wird das LSM-Modul des Linux-Kernels Landlock verwendet, welches die Ausf\u00fchrung privilegierter Operationen bei der Erstellung einer Sandbox-Umgebung \u00fcberfl\u00fcssig macht. In seinen Funktionen \u00e4hnelt Landrun dem Tool Firejail, unterscheidet sich jedoch durch eine einfachere Implementierung, Leichtgewichtigkeit und die M\u00f6glichkeit, als normaler nicht privilegierter Benutzer ohne die Suid-Flagge zu arbeiten. Der Code des Projekts ist in Go geschrieben und wird unter der GPLv2-Lizenz vertrieben. <\/p>\n
Der Landlock-Mechanismus erm\u00f6glicht es nicht privilegierten Programmen, die Nutzung von Objekten des Linux-Kernels einzuschr\u00e4nken, wie zum Beispiel Datei-Hierarchien, Netzwerksockets und ioctl. Im Gegensatz zu Namespaces und der Filterung von Systemaufrufen wird die isolierte Umgebung vom Linux-Kernel in Form einer zus\u00e4tzlichen Schicht \u00fcber den bestehenden Systemmechanismen zur Zugriffskontrolle gebildet. Zur Interaktion mit dem Landlock-Subsystem verwendet das Tool landrun die von den Entwicklern von LandLock bereitgestellte go-landlock-Bibliothek. <\/p>\n
Landrun hilft, das Risiko der Kompromittierung der Hauptsysteme zu verringern, wenn man misstrauische oder potenziell anf\u00e4llige Software ausf\u00fchrt. Zu den Funktionen geh\u00f6rt die Unterst\u00fctzung selektiver Zugriffsbeschr\u00e4nkungen auf der Ebene einzelner Verzeichnisse, die Bindung von Berechtigungen an Dateipfade (Erlauben oder Verweigern von Lese-, Schreib- und Ausf\u00fchrungsrechten) sowie die Kontrolle \u00fcber die Initiierung und den Empfang von TCP-Verbindungen. <\/p>\n
Zum Beispiel kann mit Landrun der Prozess dazu gebracht werden, das Ausf\u00fchren von ausf\u00fchrbaren Dateien zu verbieten, das Schreiben nur in ein bestimmtes Unterverzeichnis mit Daten zu erlauben, das Erstellen von Listening-Sockets f\u00fcr den Empfang von Netzwerkverbindungen zu verbieten und das Senden von Netzwerk-Anfragen nur an die angegebenen TCP-Ports zu erlauben. Im einfachsten Fall kann das Verbot von Schreiben, Ausf\u00fchren und Netzwerkm\u00f6glichkeiten mit dem Befehl \u201elandrun \u2014ro \/\u201c durchgef\u00fchrt werden, w\u00e4hrend zur Isolation von nginx Folgendes verwendet werden kann: landrun \u2014rox \/usr\/bin \u2014ro \/lib,\/lib64,\/var\/www \u2014rwx \/var\/log \u2014bind-tcp 80,443 \/usr\/bin\/nginx <\/p>\n
Die zuk\u00fcnftigen Pl\u00e4ne erw\u00e4hnen eine erweiterte Verwaltung des Zugriffs auf das Dateisystem, die Unterst\u00fctzung von UDP und das Management von Prozessressourcen. F\u00fcr die Einschr\u00e4nkung des Zugriffs auf Dateisystemebene ist mindestens der Linux-Kernel 5.13 erforderlich, w\u00e4hrend f\u00fcr netzwerkbezogene Einschr\u00e4nkungen 6.8 ben\u00f6tigt wird. <\/p>\n