{"id":122970,"date":"2025-03-25T10:22:49","date_gmt":"2025-03-25T08:22:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-landrun-razvivaet-neprivilegirovannuyu-sistemu-izolyaczii-prilozhenij"},"modified":"2025-03-25T10:22:49","modified_gmt":"2025-03-25T08:22:49","slug":"proekt-landrun-razvivaet-neprivilegirovannuyu-sistemu-izolyaczii-prilozhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/proekt-landrun-razvivaet-neprivilegirovannuyu-sistemu-izolyaczii-prilozhenij","title":{"rendered":"Il progetto Landrun sviluppa un sistema di isolamento delle applicazioni non privilegiato","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Il progetto Landrun ha avviato lo sviluppo di un nuovo sistema per l'esecuzione isolata di singole applicazioni. Per l'isolamento viene utilizzato il modulo LSM del kernel Linux Landlock, che consente di evitare l'esecuzione di operazioni privilegiate durante la creazione di un ambiente sandbox. Per le sue funzioni, Landrun \u00e8 simile all'utility Firejail, ma si distingue per una realizzazione pi\u00f9 semplice, leggerezza e la possibilit\u00e0 di lavorare sotto un utente normale non privilegiato senza dover utilizzare il flag suid. Il codice del progetto \u00e8 scritto in Go e distribuito sotto licenza GPLv2. <\/p>\n
Il meccanismo Landlock consente a programmi non privilegiati di limitare l'uso di oggetti del kernel Linux, come gerarchie di file, socket di rete e ioctl. A differenza degli spazi dei nomi e del filtraggio delle chiamate di sistema, l'ambiente isolato \u00e8 formato dal kernel Linux sotto forma di uno strato aggiuntivo sui meccanismi di gestione degli accessi esistenti. Per interagire con la sottosistema Landlock, l'utility landrun utilizza la libreria go-landlock sviluppata dagli autori di LandLock. <\/p>\n
Landrun consente di ridurre il rischio di compromissione del sistema principale quando si eseguono programmi non fidati o potenzialmente vulnerabili. Tra le sue funzionalit\u00e0, si segnala il supporto per la limitazione selettiva dell'accesso a livello di singoli directory, il legame dei privilegi ai percorsi dei file (autorizzazione o divieto di lettura, scrittura ed esecuzione) e il controllo sull'inizializzazione e l'accettazione di connessioni TCP. <\/p>\n
Ad esempio, utilizzando Landrun, \u00e8 possibile proibire a un processo di eseguire file eseguibili, consentire la scrittura solo in una sottocartella specifica di dati, vietare la creazione di socket di ascolto per ricevere connessioni di rete e consentire l'invio di richieste di rete solo a porte TCP specifiche. Nel caso pi\u00f9 semplice, per vietare scrittura, esecuzione e capacit\u00e0 di rete, il programma pu\u00f2 essere eseguito con il comando \u2018landrun -ro \/\u2019, mentre per isolare nginx si pu\u00f2 usare: landrun -rox \/usr\/bin -ro \/lib,\/lib64,\/var\/www -rwx \/var\/log -bind-tcp 80,443 \/usr\/bin\/nginx. <\/p>\n
Tra i progetti futuri si menzionano il controllo avanzato dell'accesso al file system, il supporto per UDP e la gestione delle risorse dei processi. Per limitare l'accesso a livello di file system \u00e8 necessario almeno il kernel Linux 5.13, mentre per le limitazioni di rete serve il 6.8. <\/p>\n