{"id":122970,"date":"2025-03-25T10:22:49","date_gmt":"2025-03-25T08:22:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-landrun-razvivaet-neprivilegirovannuyu-sistemu-izolyaczii-prilozhenij"},"modified":"2025-03-25T10:22:49","modified_gmt":"2025-03-25T08:22:49","slug":"proekt-landrun-razvivaet-neprivilegirovannuyu-sistemu-izolyaczii-prilozhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/proekt-landrun-razvivaet-neprivilegirovannuyu-sistemu-izolyaczii-prilozhenij","title":{"rendered":"Le projet Landrun d\u00e9veloppe un syst\u00e8me d'isolation des applications sans privil\u00e8ge","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Le projet Landrun a commenc\u00e9 le d\u00e9veloppement d'un nouveau syst\u00e8me pour l'ex\u00e9cution isol\u00e9e d'applications individuelles. Pour l'isolement, il utilise le module LSM du noyau Linux Landlock, permettant d'\u00e9viter l'ex\u00e9cution d'op\u00e9rations privil\u00e9gi\u00e9es lors de la cr\u00e9ation d'un environnement sandbox. Par ses fonctionnalit\u00e9s, Landrun est similaire \u00e0 l'outil Firejail, mais se distingue par une mise en \u0153uvre plus simple, sa l\u00e9g\u00e8ret\u00e9 et la possibilit\u00e9 de fonctionner sous un utilisateur non privil\u00e9gi\u00e9 sans avoir besoin d'\u00eatre ex\u00e9cut\u00e9 avec le drapeau suid. Le code du projet est \u00e9crit en Go et est distribu\u00e9 sous la licence GPLv2. <\/p>\n
Le m\u00e9canisme Landlock permet aux programmes non privil\u00e9gi\u00e9s de limiter l'utilisation des objets du noyau Linux, tels que les hi\u00e9rarchies de fichiers, les sockets r\u00e9seau et ioctl. Contrairement aux espaces de noms et au filtrage des appels syst\u00e8me, l'environnement isol\u00e9 est cr\u00e9\u00e9 par le noyau Linux sous la forme d'une couche suppl\u00e9mentaire au-dessus des m\u00e9canismes de contr\u00f4le d'acc\u00e8s existants. Pour interagir avec le sous-syst\u00e8me Landlock, l'outil landrun utilise la biblioth\u00e8que go-landlock des d\u00e9veloppeurs de LandLock. <\/p>\n
Landrun permet de r\u00e9duire le risque de compromission du syst\u00e8me principal lors de l'ex\u00e9cution de programmes peu fiables ou potentiellement vuln\u00e9rables. Parmi ses fonctionnalit\u00e9s, on note le support de la limitation d'acc\u00e8s s\u00e9lective au niveau de r\u00e9pertoires individuels, l'association des privil\u00e8ges aux chemins de fichiers (autorisation ou interdiction de lecture, d'\u00e9criture et d'ex\u00e9cution) et le contr\u00f4le des initiations et des r\u00e9ceptions de connexions TCP. <\/p>\n
Par exemple, avec Landrun, il est possible d'interdire l'ex\u00e9cution de fichiers ex\u00e9cutables, de n'autoriser l'\u00e9criture que dans un sous-r\u00e9pertoire sp\u00e9cifique contenant des donn\u00e9es, d'interdire la cr\u00e9ation de sockets d'\u00e9coute pour accepter des connexions r\u00e9seau et d'autoriser l'envoi de requ\u00eates r\u00e9seau uniquement vers des ports TCP sp\u00e9cifiques. Dans le cas le plus simple, pour interdire l'\u00e9criture, l'ex\u00e9cution et les capacit\u00e9s r\u00e9seau, le programme peut \u00eatre ex\u00e9cut\u00e9 avec la commande \u00ab landrun \u2014ro \/ \u00bb, et pour isoler nginx, on peut utiliser : landrun \u2014rox \/usr\/bin \u2014ro \/lib,\/lib64,\/var\/www \u2014rwx \/var\/log \u2014bind-tcp 80,443 \/usr\/bin\/nginx <\/p>\n
Les projets futurs mentionnent une gestion avanc\u00e9e des acc\u00e8s au syst\u00e8me de fichiers, le support de l'UDP et la gestion des ressources des processus. Pour restreindre l'acc\u00e8s au niveau du syst\u00e8me de fichiers, un minimum de noyau Linux 5.13 est requis, et pour les restrictions r\u00e9seau \u2014 6.8. <\/p>\n