{"id":122970,"date":"2025-03-25T10:22:49","date_gmt":"2025-03-25T08:22:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-landrun-razvivaet-neprivilegirovannuyu-sistemu-izolyaczii-prilozhenij"},"modified":"2025-03-25T10:22:49","modified_gmt":"2025-03-25T08:22:49","slug":"proekt-landrun-razvivaet-neprivilegirovannuyu-sistemu-izolyaczii-prilozhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/proekt-landrun-razvivaet-neprivilegirovannuyu-sistemu-izolyaczii-prilozhenij","title":{"rendered":"Das Landrun-Projekt entwickelt ein privilegienfreies System zur Isolierung von Anwendungen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Das Projekt Landrun hat die Entwicklung eines neuen Systems f\u00fcr die isolierte Ausf\u00fchrung einzelner Anwendungen begonnen. Zur Isolation wird das LSM-Modul des Linux-Kernels Landlock verwendet, das es erm\u00f6glicht, ohne den Einsatz privilegierter Operationen eine Sandbox-Umgebung zu erstellen. In seinen Funktionen \u00e4hnelt Landrun dem Dienstprogramm Firejail, unterscheidet sich jedoch durch eine einfachere Implementierung, Leichtgewichtigkeit und die M\u00f6glichkeit, unter einem normalen, unprivilegierten Benutzer ohne SUID-Flag zu arbeiten. Der Code des Projekts ist in der Programmiersprache Go geschrieben und wird unter der GPLv2-Lizenz vertrieben. <\/p>\n
Der Landlock-Mechanismus erm\u00f6glicht es unprivilegierten Programmen, die Nutzung von Objekten des Linux-Kernels, wie z. B. Dateihierarchien, Netzwerksockets und ioctl, einzuschr\u00e4nken. Im Gegensatz zu Namespaces und der Filterung von Systemaufrufen wird die isolierte Umgebung vom Linux-Kernel in Form einer zus\u00e4tzlichen Schicht \u00fcber den bestehenden Systemzugriffsmechanismen gebildet. F\u00fcr die Interaktion mit dem Landlock-Subsystem verwendet das Dienstprogramm landrun die go-landlock-Bibliothek der Entwickler von LandLock. <\/p>\n
Landrun reduziert das Risiko der Kompromittierung des Hauptsystems beim Ausf\u00fchren von nicht vertrauensw\u00fcrdigen oder potenziell anf\u00e4lligen Programmen. Zu den Funktionen geh\u00f6rt die Unterst\u00fctzung von selektiven Zugriffssteuerungen auf katalog\u00fcbergreifender Ebene, die Bindung von Rechten an Dateipfade (Erlauben oder Verhindern von Lesen, Schreiben und Ausf\u00fchren) sowie die Kontrolle \u00fcber die Initiierung und den Empfang von TCP-Verbindungen. <\/p>\n
Zum Beispiel kann mit Landrun der Prozess daran gehindert werden, ausf\u00fchrbare Dateien zu starten, das Schreiben nur in ein bestimmtes Unterverzeichnis mit Daten erlaubt, das Erstellen von Listening-Sockets f\u00fcr die Annahme von Netzwerkverbindungen verboten und das Senden von Netzwerkrequests nur an bestimmte TCP-Ports erlaubt werden. Im einfachsten Fall kann man das Programm zur Einschr\u00e4nkung von Schreib-, Start- und Netzwerkfunktionen mit dem Befehl \u201elandrun -ro \/\u201c ausf\u00fchren, und zur Isolation von nginx kann man verwenden: landrun -rox \/usr\/bin -ro \/lib,\/lib64,\/var\/www -rwx \/var\/log -bind-tcp 80,443 \/usr\/bin\/nginx <\/p>\n
In den Zukunftspl\u00e4nen wird eine erweiterte Verwaltung des Zugriffs auf das Dateisystem, Unterst\u00fctzung f\u00fcr UDP und Ressourcenmanagement f\u00fcr Prozesse erw\u00e4hnt. F\u00fcr den Zugriff auf Dateisystemebene wird mindestens der Linux-Kernel 5.13 ben\u00f6tigt, w\u00e4hrend f\u00fcr Netzwerkbeschr\u00e4nkungen 6.8 erforderlich ist. <\/p>\n