{"id":122970,"date":"2025-03-25T10:22:49","date_gmt":"2025-03-25T08:22:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-landrun-razvivaet-neprivilegirovannuyu-sistemu-izolyaczii-prilozhenij"},"modified":"2025-03-25T10:22:49","modified_gmt":"2025-03-25T08:22:49","slug":"proekt-landrun-razvivaet-neprivilegirovannuyu-sistemu-izolyaczii-prilozhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/proekt-landrun-razvivaet-neprivilegirovannuyu-sistemu-izolyaczii-prilozhenij","title":{"rendered":"Il progetto Landrun sviluppa un sistema di isolamento delle applicazioni non privilegiato.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Il progetto Landrun ha avviato lo sviluppo di un nuovo sistema per l'esecuzione isolata di singole applicazioni. Per l'isolamento viene utilizzato il modulo LSM del kernel Linux Landlock, che consente di evitare l'esecuzione di operazioni privilegiate durante la creazione di un ambiente sandbox. Per le sue funzionalit\u00e0, Landrun \u00e8 simile all'utility Firejail, ma si distingue per una realizzazione pi\u00f9 semplice, leggerezza e la possibilit\u00e0 di operare sotto un comune utente non privilegiato senza la necessit\u00e0 del flag suid. Il codice del progetto \u00e8 scritto in Go e distribuito sotto licenza GPLv2. <\/p>\n
Il meccanismo Landlock consente ai programmi non privilegiati di limitare l'uso degli oggetti del kernel Linux, come gerarchie di file, socket di rete e ioctl. A differenza degli spazi dei nomi e del filtraggio delle chiamate di sistema, l'ambiente isolato viene formato dal kernel Linux sotto forma di un ulteriore strato sopra i meccanismi di controllo degli accessi gi\u00e0 esistenti. Per interagire con il sottosistema Landlock, l'utility landrun utilizza la libreria go-landlock degli sviluppatori di LandLock. <\/p>\n
Landrun consente di ridurre il rischio di compromissione del sistema principale durante l'esecuzione di programmi non affidabili o potenzialmente vulnerabili. Tra le funzionalit\u00e0 disponibili si evidenziano la supporto per la limitazione selettiva degli accessi a livello di singoli directory, l'assegnazione di privilegi a percorsi di file (consentendo o vietando la lettura, la scrittura e l'esecuzione) e il controllo sulle connessioni TCP in entrata e in uscita. <\/p>\n
Ad esempio, con Landrun \u00e8 possibile vietare l'esecuzione di file eseguibili, consentire la scrittura solo in una specifica sottodirectory contenente dati, vietare la creazione di socket in ascolto per ricevere connessioni di rete e consentire l'invio di richieste di rete solo a porte TCP specificate. Nel caso pi\u00f9 semplice, per vietare la scrittura, l'esecuzione e le capacit\u00e0 di rete, si pu\u00f2 eseguire il comando \"landrun -ro \/\", mentre per isolare nginx si pu\u00f2 utilizzare: landrun -rox \/usr\/bin -ro \/lib,\/lib64,\/var\/www -rwx \/var\/log -bind-tcp 80,443 \/usr\/bin\/nginx <\/p>\n
I piani futuri menzionano una gestione avanzata dell'accesso al file system, supporto per UDP e gestione delle risorse dei processi. Per limitare l'accesso a livello di file system \u00e8 necessario almeno il kernel Linux 5.13, mentre per i vincoli di rete - 6.8. <\/p>\n