{"id":122970,"date":"2025-03-25T10:22:49","date_gmt":"2025-03-25T08:22:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-landrun-razvivaet-neprivilegirovannuyu-sistemu-izolyaczii-prilozhenij"},"modified":"2025-03-25T10:22:49","modified_gmt":"2025-03-25T08:22:49","slug":"proekt-landrun-razvivaet-neprivilegirovannuyu-sistemu-izolyaczii-prilozhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/proekt-landrun-razvivaet-neprivilegirovannuyu-sistemu-izolyaczii-prilozhenij","title":{"rendered":"El proyecto Landrun desarrolla un sistema de aislamiento de aplicaciones no privilegiadas","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
El proyecto Landrun ha comenzado a desarrollar un nuevo sistema para la ejecuci\u00f3n aislada de aplicaciones individuales. Para el aislamiento se utiliza el m\u00f3dulo LSM del n\u00facleo de Linux Landlock, que permite prescindir de la ejecuci\u00f3n de operaciones privilegiadas al crear un entorno sandbox. En sus objetivos, Landrun es similar a la utilidad Firejail, pero se diferencia por su implementaci\u00f3n m\u00e1s sencilla, su ligereza y la posibilidad de operar bajo un usuario no privilegiado sin necesidad de ser instalada con la bandera suid. El c\u00f3digo del proyecto est\u00e1 escrito en Go y se distribuye bajo la licencia GPLv2. <\/p>\n
El mecanismo Landlock permite a los programas no privilegiados restringir el uso de objetos del n\u00facleo de Linux, como jerarqu\u00edas de archivos, sockets de red e ioctl. A diferencia de los espacios de nombres y el filtrado de llamadas al sistema, el entorno aislado se forma mediante el n\u00facleo de Linux como una capa adicional sobre los mecanismos existentes de control de acceso. Para interactuar con la subestructura de Landlock, la utilidad landrun utiliza la biblioteca go-landlock desarrollada por los creadores de LandLock. <\/p>\n
Landrun permite disminuir el riesgo de compromiso del sistema principal al ejecutar programas no confiables o potencialmente vulnerables. Entre sus caracter\u00edsticas se destaca el soporte para restricciones de acceso selectivas a nivel de directorios individuales, la vinculaci\u00f3n de privilegios a rutas de archivos (permitiendo o prohibiendo la lectura, escritura y ejecuci\u00f3n) y el control sobre la iniciaci\u00f3n y recepci\u00f3n de conexiones TCP. <\/p>\n
Por ejemplo, con Landrun, se puede prohibir la ejecuci\u00f3n de archivos ejecutables, permitir la escritura solo en un subdirectorio espec\u00edfico de datos, prohibir la creaci\u00f3n de sockets de escucha para recibir conexiones de red y permitir el env\u00edo de solicitudes de red solo a los puertos TCP especificados. En el caso m\u00e1s simple, para prohibir escritura, ejecuci\u00f3n y capacidades de red, el programa se puede ejecutar con el comando \u00ablandrun \u2014ro \/\u00bb, y para aislar nginx se puede utilizar: landrun \u2014rox \/usr\/bin \u2014ro \/lib,\/lib64,\/var\/www \u2014rwx \/var\/log \u2014bind-tcp 80,443 \/usr\/bin\/nginx <\/p>\n
En los planes futuros se menciona un control de acceso mejorado al sistema de archivos, soporte para UDP y gesti\u00f3n de recursos de procesos. Para limitar el acceso a nivel de sistema de archivos se requiere al menos el n\u00facleo de Linux 5.13, y para limitaciones de red \u2014 6.8. <\/p>\n