Isolatsioonimehhanismi pledge portimise projekt Linuxile

Cosmopolitan'i ja Redbean'i standardset C-raamatukogu autor kuulutas välja pledge() mehhanismi isoleerimise rakendamise Linuxis. Algne pledge kujundati OpenBSD projektis ning see võimaldab rakendustel valikuliselt keelata juurdepääs kasutamata süsteemikõnedele (rakendusele luuakse nagu valge nimekiri süsteemikõnedest, samas kui teised kõned keelatakse). Erinevalt Linuxis saadaval olevatest süsteemikõnede juurdepääsu piiramise mehhanismidest, nagu seccomp, on pledge mehhanism algselt välja töötatud, et maksimeerida kasutamise lihtsust.

Ebaõnnestunud OpenBSD põhikeskkonna rakenduste isoleerimisalgatus systrace'i mehhanismi kasutamist tõi esile, et isoleerimine individuaalsetes süsteemikõnedes on liiga keeruline ja töömahukas. Alternatiivina pakuti välja pledge, mis võimaldas luua isoleerimisreegleid, süvenemata detailidesse ja manipuleerides valmis juurdepääsuklassidega. Näiteks pakutakse klasse stdio (sisendi/väljundi), rpath (ainult failide lugemine), wpath (failide kirjutamine), cpath (failide loomine), tmppath (ajutiste failidega töötamine), inet (võrgu sokid), unix (unix-sokid), dns (DNS-i lahendamine), getpw (lugemisõigus kasutajabaasile), ioctl (ioctl-kõne), proc (protsesside haldus), exec (protsesside käivitamine) ja id (juurdepääsuõiguste haldamine).

Süsteemikõnede tööreeglid määratakse annotatsioonide vormis, mis sisaldavad loetelu lubatud süsteemikõnede klassidest ja failiteede massiivi, kuhu juurdepääs on lubatud. Pärast muudetud rakenduse koostamist ja käivitamist võtab tuuma töö enda kanda, et kontrollida antud reeglite järgimist.

Eraldi arendatakse pledge rakendust FreeBSD jaoks, mis erineb rakenduste isoleerimise võimalusest ilma nende koodi muutmata, samas kui OpenBSD-s on pledge'i kõne suunatud tihedale integreerimisele põhikeskkonnaga ja igas rakenduses annotatsioonide lisamisele.

Linuxi pledge'i pordi arendajad kasutasid FreeBSD näidet ja valmistusid koduülesande ettevalmistamise utiliidiks pledge.com, mis võimaldab kehtestada piiranguid ilma rakenduskoodi muutmata. Näiteks utiliidi curl käivitamiseks, avades juurdepääsu ainult süsteemikõnede klassidele stdio, rpath, inet ja threadstdio, piisab käsklusest „./pledge.com -p ‘stdio rpath inet thread’ curl http://example.com”.

Utiliit pledge töötab kõikides Linuxi distributsioonides alates RHEL6-st ja ei vaja root-juurdepääsu. Lisaks, Cosmopolitan'i raamatukogul põhinev API võimaldab hallata piiranguid C keeles kirjutatud programmide koodis, sealhulgas luua enclave'e, et valikuliselt piirata juurdepääsu rakenduse konkreetsetele funktsioonidele.

Rakendamine ei nõua muudatusi kernelis - pledge'i piirangud tõlgitakse SECCOMP BPF reegliteks, mida töödeldakse Linuxile iseloomuliku süsteemikallutuste isolatsioonimehhanismiga. Näiteks, kõne pledge("stdio rpath", 0) muudetakse BPF-filtriks static const struct sock_filter kFilter[] = { /* L0*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, syscall, 0, 14 - 1), /* L1*/ BPF_STMT(BPF_LD | BPF_W | BPF_ABS, OFF(args[0])), /* L2*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, 2, 4 - 3, 0), /* L3*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, 10, 0, 13 - 4), /* L4*/ BPF_STMT(BPF_LD | BPF_W | BPF_ABS, OFF(args[1])), /* L5*/ BPF_STMT(BPF_ALU | BPF_AND | BPF_K, ~0x80800), /* L6*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, 1, 8 - 7, 0), /* L7*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, 2, 0, 13 - 8), /* L8*/ BPF_STMT(BPF_LD | BPF_W | BPF_ABS, OFF(args[2])), /* L9*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, 0, 12 - 10, 0), /*L10*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, 6, 12 - 11, 0), /*L11*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, 17, 0, 13 - 11), /*L12*/ BPF_STMT(BPF_RET | BPF_K, SECCOMP_RET_ALLOW), /*L13*/ BPF_STMT(BPF_LD | BPF_W | BPF_ABS, OFF(nr)), /*L14*/ /* next filter */ };

Allikas: opennet.ru