Pledge isolatsioonimehhanismi portimise projekt Linuxile

Cosmopolitan C standard library ja Redbean platvormi autor teatas, et Linuxi jaoks on ellu viidud pledge() isolatsioonimehhanismi rakendamine. Alguses töötas pledge välja OpenBSD projekt, mis võimaldab rakendustel valikuliselt keelata juurdepääsu kasutamata süsteemi süsteemikõnedele (rakendusele luuakse süsteemikõnede sarnane lubatud nimekiri, samas keelatakse ülejäänud kõned). Erinevalt Linuxis saadaolevatest süsteemikõnede juurdepääsu piiramise mehhanismidest, nagu seccomp, on pledge mehhanism algselt välja töötatud eesmärgiga maksimaalselt lihtsustada rakendamise protsessi.

Ebaõnnestunud OpenBSD baasseadmestiku rakenduste isolatsioonialgatus systrace'i mehhanismi kasutamisel näitas, et isolatsioon üksikute süsteemikõnede tasemel on liiga keeruline ja töömahukas. Alternatiivina pakuti välja pledge, mis võimaldas luua isolatsioonireegleid, süvenemata detaile ja manipuleerides valmis ligipääsuklassidega. Näiteks pakutakse välja klassid nagu stdio (sisend/väljund), rpath (ainult failide lugemine), wpath (failide kirjutamine), cpath (failide loomine), tmppath (ajutiste failidega töötamine), inet (võrk soketid), unix (unix-soketid), dns (DNS-i lahendamine), getpw (lugemisõigus kasutajate andmebaasile), ioctl (ioctl-i kõne), proc (protsesside haldamine), exec (protsesside käitamine) ja id (ligipääs õiguste haldamiseks).

Süsteemikõnede reeglid määratakse annotatsioonide kujul, mis sisaldavad nimekirja lubatud süsteemikõnede klassidest ja failide teede massiivi, kuhu juurdepääs on lubatud. Pärast muudetud rakenduse koostamist ja käivitamist, võtab tuuma ülesanne endale nõutud reeglite järgimise kontrollimise.

Erakordselt arendatakse FreeBSD jaoks pledge rakendust, mis erineb võimalusest isoleerida rakendusi ilma nende koodi muutmata, samas kui OpenBSD-s on pledge kõne suunatud tihedale integreerimisele põhiõhkkonna ja annotatsioonide lisamisega iga rakenduse koodi.

Linuxi pledge pordi arendajad kasutasid FreeBSD näidet ja valmistavad ette pledge.com nimelise utiliidi, mis võimaldab rakendamise piirangute rakendamist ilma rakenduse koodi muutmata. Näiteks curl utiliidi käivitamiseks, millel on juurdepääs ainult stdio, rpath, inet ja threadstdio süsteemikõnede klassidele, on piisav käivitamine: "./pledge.com -p 'stdio rpath inet thread' curl http://example.com".

Pledge utiliit töötab kõigis Linuxi distributsioonides alates RHEL6-st ja ei nõua root-juurdepääsu. Lisaks pakub cosmopolitan teekide alusel API, et hallata piiranguid C keeles programmide koodis, mis võimaldab ka luua enklaave, et piirata juurdepääsu teatud rakenduse funktsioonidele.

Rakendamine ei nõua tuumas muutmist — pledge piirangud tõlgitakse SECCOMP BPF reegliteks ja töödeldakse Linuxi süsteemikõnede isolatsioonimehhanismi kaudu. Näiteks oleks pledge('stdio rpath', 0) kõne muudetud BPF-filteriks static const struct sock_filter kFilter[] = { /* L0*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, syscall, 0, 14 - 1), /* L1*/ BPF_STMT(BPF_LD | BPF_W | BPF_ABS, OFF(args[0])), /* L2*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, 2, 4 - 3, 0), /* L3*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, 10, 0, 13 - 4), /* L4*/ BPF_STMT(BPF_LD | BPF_W | BPF_ABS, OFF(args[1])), /* L5*/ BPF_STMT(BPF_ALU | BPF_AND | BPF_K, ~0x80800), /* L6*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, 1, 8 - 7, 0), /* L7*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, 2, 0, 13 - 8), /* L8*/ BPF_STMT(BPF_LD | BPF_W | BPF_ABS, OFF(args[2])), /* L9*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, 0, 12 - 10, 0), /*L10*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, 6, 12 - 11, 0), /*L11*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, 17, 0, 13 - 11), /*L12*/ BPF_STMT(BPF_RET | BPF_K, SECCOMP_RET_ALLOW), /*L13*/ BPF_STMT(BPF_LD | BPF_W | BPF_ABS, OFF(nr)), /*L14*/ /* next filter */ };

Allikas: opennet.ru