A Landrun projekt elkezdte egy új rendszer fejlesztését, amely lehetővé teszi az egyes alkalmazások elszigetelt futtatását. Az elszigeteléshez a Linux kernel Landlock LSM-modulja használható, amely lehetővé teszi, hogy ne legyen szükség privilegizált műveletek végrehajtására a sandbox környezet létrehozása során. Feladatai szempontjából a Landrun hasonló a Firejail segédprogramhoz, de egyszerűbb végrehajtással, könnyedséggel rendelkezik, és lehetővé teszi a normál, nem privilegizált felhasználó általi futtatást suid zászló nélkül. A projekt kódját Go nyelven írták, és GPLv2 licenc alatt terjesztik.
A Landlock mechanizmusa lehetővé teszi, hogy nem privilegizált programok korlátozzák a Linux kernel objektumainak, például fájlhierarchiák, hálózati socketek és ioctl használatát. A névterektől és a rendszerhívások szűrésétől eltérően az elszigetelt környezetet a Linux kernel egy további réteg formájában hozza létre a meglévő hozzáférés-ellenőrzési mechanizmusok felett. A landrun segédprogram a Landlock alrendszerével való kölcsönhatáshoz a LandLock fejlesztői által kínált go-landlock könyvtárat használja.
A Landrun csökkenti a fő rendszer veszélyeztetésének kockázatát nem megbízható vagy potenciálisan sebezhető programok futtatása során. A lehetőségek között szerepel az egyes könyvtárak szintjén történő szelektív hozzáféréskorlátozás, a jogok kötődése fájlok útvonalaihoz (olvasás, írás és végrehajtás engedélyezése vagy tiltanak) és a TCP-kapcsolatok kezdeményezésének és fogadásának ellenőrzése.
Például a Landrun segítségével egy folyamat számára megtiltható végrehajtható fájlok indítása, csak egy adott almappába történő írás engedélyezése, a hálózati kapcsolatok fogadására szolgáló hallgató socketek létrehozásának megtiltása, valamint a hálózati kérések küldése csak meghatározott TCP-portokra engedélyezett. A legegyszerűbb esetben a program végrehajtásához, amely megtiltja az írást, indítást és hálózati lehetőségeket, a „landrun —ro /” parancsot használható, míg az nginx elszigeteléséhez a következő parancs használható: landrun —rox /usr/bin —ro /lib,/lib64,/var/www —rwx /var/log —bind-tcp 80,443 /usr/bin/nginx.
A jövőbeli tervek között szerepel a fájlrendszerhez való hozzáférés kiterjesztett kezelése, az UDP támogatása és a folyamatok erőforrásainak kezelése. A fájlrendszeren belüli hozzáférés korlátozásához legalább Linux 5.13 kernel szükséges, míg a hálózati korlátozásokhoz 6.8 verzió.
Továbbá meg kell említeni, hogy a Firejail kódalapjába már beépítésre kerültek a változtatások, amelyek lehetővé teszik a Landlock kernelalrendszer használatát izolációra suid-betű és privilegizálás nélkül, de a támogatással rendelkező kiadás még nem került nyilvánosságra.
Forrás: opennet.ru
