Landrun projekt arendab mittepriviligeeritud rakenduste isoleerimise süsteemi

Landrun projekt alustas uue süsteemi arendamist isoleeritud rakenduste käitamiseks. Isolatsiooni saavutamiseks kasutatakse Linuxi tuuma Landlocki LSM-moodulit, mis võimaldab vältida privileegitud operatsioonide täitmist sandbox-ümbriku loomise käigus. Landrun on oma funktsioonidelt sarnane Firejail utiliidile, kuid on lihtsama rakenduse, kergema kaaluga ja võimaldab töötamist tavalise mitteprivileegitud kasutaja all ilma suid lipu kohaletoimetamiseta. Projekti kood on kirjutatud Go keeles ja levitatakse GPLv2 litsentsi all.

Landlock mehhanism võimaldab mitteprivileegitud programmide piirata Linuxi tuuma objektide, nagu failihierarhiad, võrgu sokid ja ioctl, kasutamist. Erinevalt nimede ruumidest ja süsteemikutsumiste filtreerimisest, luuakse isoleeritud keskkond Linuxi tuuma poolt, lisakihina olemasolevate juurdepääsukontrolli mehhanismide üle. Landlocki alamehhanismide suhtlemiseks kasutatakse landrun utiliidis LandLock arendajate go-landlock teeki.

Landrun vähendab peamise süsteemi kompromiteerimise riski, kui käitatakse usaldamatuid või potentsiaalselt haavatavaid programme. Toetatakse valikulist juurdepääsu piiramist üksikute kataloogide tasemel, õiguste sidumist failiteedega (lugemise, kirjutamise ja käitamise lubamine või keeldumine) ja TCP-ühenduste algatamise ning vastuvõtmise kontrolli.

Näiteks on Landrun abil protsessile võimalik keelata käivitatavate failide käitamine, lubada kirjutamine ainult teatud alamkatalooge andmete jaoks, keelata kuulavate sokkide loomine võrguühenduste vastuvõtmiseks ning lubada võrgu päringute saatmine ainult määratud TCP-portidele. Lihtsaimal juhul saab kirjutamise, käitamiste ja võrguvõime keelata, käivitades programmi käsuga «landrun —ro \/», ning nginx isoleerimiseks võib kasutada: landrun —rox \/usr\/bin —ro \/lib,\/lib64,\/var\/www —rwx \/var\/log —bind-tcp 80,443 \/usr\/bin\/nginx.

Tulevikus on plaanis laiendada failisüsteemi juurdepääsu juhtimist, toetada UDP-d ja hallata protsesside ressursse. Failisüsteemi tasemel juurdepääsu piiramiseks on vajalik vähemalt Linuxi tuum 5.13 ja võrgu piirangute jaoks 6.8.

Lisaks võib märkida, et Firejaili koodibaasi on juba sisse viidud muudatused, mis võimaldavad kasutada Landlocki tuuma alamprogrammi isoleerimiseks ilma suid-biti ja õiguste tõstmiseta, kuid selle toe sisaldava väljalaskega pole veel välja lastud.

Allikas: opennet.ru