{"id":122970,"date":"2025-03-25T10:22:49","date_gmt":"2025-03-25T08:22:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-landrun-razvivaet-neprivilegirovannuyu-sistemu-izolyaczii-prilozhenij"},"modified":"2025-03-25T10:22:49","modified_gmt":"2025-03-25T08:22:49","slug":"proekt-landrun-razvivaet-neprivilegirovannuyu-sistemu-izolyaczii-prilozhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/news\/proekt-landrun-razvivaet-neprivilegirovannuyu-sistemu-izolyaczii-prilozhenij","title":{"rendered":"A Landrun projekt egy nem privil\u00e9giz\u00e1lt alkalmaz\u00e1s-izol\u00e1ci\u00f3s rendszert fejleszt","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
A Landrun projekt elkezdte egy \u00faj rendszer fejleszt\u00e9s\u00e9t, amely lehet\u0151v\u00e9 teszi az egyes alkalmaz\u00e1sok elszigetelt futtat\u00e1s\u00e1t. Az elszigetel\u00e9shez a Linux kernel Landlock LSM-modulja haszn\u00e1lhat\u00f3, amely lehet\u0151v\u00e9 teszi, hogy ne legyen sz\u00fcks\u00e9g privilegiz\u00e1lt m\u0171veletek v\u00e9grehajt\u00e1s\u00e1ra a sandbox k\u00f6rnyezet l\u00e9trehoz\u00e1sa sor\u00e1n. Feladatai szempontj\u00e1b\u00f3l a Landrun hasonl\u00f3 a Firejail seg\u00e9dprogramhoz, de egyszer\u0171bb v\u00e9grehajt\u00e1ssal, k\u00f6nnyeds\u00e9ggel rendelkezik, \u00e9s lehet\u0151v\u00e9 teszi a norm\u00e1l, nem privilegiz\u00e1lt felhaszn\u00e1l\u00f3 \u00e1ltali futtat\u00e1st suid z\u00e1szl\u00f3 n\u00e9lk\u00fcl. A projekt k\u00f3dj\u00e1t Go nyelven \u00edrt\u00e1k, \u00e9s GPLv2 licenc alatt terjesztik. <\/p>\n
A Landlock mechanizmusa lehet\u0151v\u00e9 teszi, hogy nem privilegiz\u00e1lt programok korl\u00e1tozz\u00e1k a Linux kernel objektumainak, p\u00e9ld\u00e1ul f\u00e1jlhierarchi\u00e1k, h\u00e1l\u00f3zati socketek \u00e9s ioctl haszn\u00e1lat\u00e1t. A n\u00e9vterekt\u0151l \u00e9s a rendszerh\u00edv\u00e1sok sz\u0171r\u00e9s\u00e9t\u0151l elt\u00e9r\u0151en az elszigetelt k\u00f6rnyezetet a Linux kernel egy tov\u00e1bbi r\u00e9teg form\u00e1j\u00e1ban hozza l\u00e9tre a megl\u00e9v\u0151 hozz\u00e1f\u00e9r\u00e9s-ellen\u0151rz\u00e9si mechanizmusok felett. A landrun seg\u00e9dprogram a Landlock alrendszer\u00e9vel val\u00f3 k\u00f6lcs\u00f6nhat\u00e1shoz a LandLock fejleszt\u0151i \u00e1ltal k\u00edn\u00e1lt go-landlock k\u00f6nyvt\u00e1rat haszn\u00e1lja. <\/p>\n
A Landrun cs\u00f6kkenti a f\u0151 rendszer vesz\u00e9lyeztet\u00e9s\u00e9nek kock\u00e1zat\u00e1t nem megb\u00edzhat\u00f3 vagy potenci\u00e1lisan sebezhet\u0151 programok futtat\u00e1sa sor\u00e1n. A lehet\u0151s\u00e9gek k\u00f6z\u00f6tt szerepel az egyes k\u00f6nyvt\u00e1rak szintj\u00e9n t\u00f6rt\u00e9n\u0151 szelekt\u00edv hozz\u00e1f\u00e9r\u00e9skorl\u00e1toz\u00e1s, a jogok k\u00f6t\u0151d\u00e9se f\u00e1jlok \u00fatvonalaihoz (olvas\u00e1s, \u00edr\u00e1s \u00e9s v\u00e9grehajt\u00e1s enged\u00e9lyez\u00e9se vagy tiltanak) \u00e9s a TCP-kapcsolatok kezdem\u00e9nyez\u00e9s\u00e9nek \u00e9s fogad\u00e1s\u00e1nak ellen\u0151rz\u00e9se. <\/p>\n
P\u00e9ld\u00e1ul a Landrun seg\u00edts\u00e9g\u00e9vel megtilthatjuk a v\u00e9grehajthat\u00f3 f\u00e1jlok ind\u00edt\u00e1s\u00e1t, enged\u00e9lyezhetj\u00fck az \u00edr\u00e1st csak egy adott almapp\u00e1ba, megtilthatjuk a h\u00e1l\u00f3zati kapcsolatok fogad\u00e1s\u00e1ra szolg\u00e1l\u00f3 hallgat\u00f3 socketek l\u00e9trehoz\u00e1s\u00e1t, \u00e9s enged\u00e9lyezhetj\u00fck a h\u00e1l\u00f3zati k\u00e9r\u00e9sek k\u00fcld\u00e9s\u00e9t csak megadott TCP-portokra. A legegyszer\u0171bb esetben a fel\u00edr\u00e1s, ind\u00edt\u00e1s \u00e9s h\u00e1l\u00f3zati lehet\u0151s\u00e9gek letilt\u00e1s\u00e1hoz a programot a k\u00f6vetkez\u0151 parancs seg\u00edts\u00e9g\u00e9vel hajthatjuk v\u00e9gre: \u201elandrun -ro \/\u201d, m\u00edg az nginx izol\u00e1l\u00e1s\u00e1hoz a k\u00f6vetkez\u0151t haszn\u00e1lhatjuk: landrun -rox \/usr\/bin -ro \/lib,\/lib64,\/var\/www -rwx \/var\/log -bind-tcp 80,443 \/usr\/bin\/nginx <\/p>\n
A j\u00f6v\u0151beli tervek k\u00f6z\u00f6tt eml\u00edt\u00e9st nyer a f\u00e1jlrendszerhez val\u00f3 hozz\u00e1f\u00e9r\u00e9s kiterjesztett kezel\u00e9se, az UDP t\u00e1mogat\u00e1sa \u00e9s a folyamatok er\u0151forr\u00e1sainak kezel\u00e9se. A f\u00e1jlrendszer szint\u0171 hozz\u00e1f\u00e9r\u00e9s korl\u00e1toz\u00e1s\u00e1hoz legal\u00e1bb Linux 5.13 kernel sz\u00fcks\u00e9ges, m\u00edg a h\u00e1l\u00f3zati korl\u00e1toz\u00e1sokhoz - 6.8. <\/p>\n
Tov\u00e1bb\u00e1 meg kell eml\u00edteni, hogy a Firejail k\u00f3dalapj\u00e1ba m\u00e1r be\u00e9p\u00edt\u00e9sre ker\u00fcltek a v\u00e1ltoztat\u00e1sok, amelyek lehet\u0151v\u00e9 teszik a Landlock kernelalrendszer haszn\u00e1lat\u00e1t izol\u00e1ci\u00f3ra suid-bet\u0171 \u00e9s privilegiz\u00e1l\u00e1s n\u00e9lk\u00fcl, de a t\u00e1mogat\u00e1ssal rendelkez\u0151 kiad\u00e1s m\u00e9g nem ker\u00fclt nyilv\u00e1noss\u00e1gra. \n Forr\u00e1s: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"