מנגנון בידוד דומה ל-plegde and unveil מפותח עבור FreeBSD

עבור FreeBSD, מוצע הטמעה של מנגנון בידוד יישומים, המזכיר את קריאות ה-plegde וחשיפה למערכת שפותחו על ידי פרויקט OpenBSD. בידוד ב-plegde מושג על ידי איסור גישה לשיחות מערכת שאינן בשימוש באפליקציה, ובחשיפה על ידי פתיחת גישה סלקטיבית רק לנתיבי קבצים בודדים שהאפליקציה יכולה לעבוד איתם. עבור האפליקציה נוצרת מעין רשימה לבנה של שיחות מערכת ונתיבי קבצים, וכל שאר השיחות והנתיבים אסורים.

ההבדל בין האנלוגי של Plegde ל-Unveil שמפותח עבור FreeBSD מסתכם באספקת שכבה נוספת המאפשרת לך לבודד יישומים מבלי לבצע שינויים בקוד שלהם או עם שינויים מינימליים. נזכיר כי ב-OpenBSD, plegde ו- unveil מכוונות לאינטגרציה הדוקה עם הסביבה הבסיסית ומשמשות על ידי הוספת הערות מיוחדות לקוד של כל אפליקציה. כדי לפשט את ארגון ההגנה, מסננים מאפשרים לך לוותר על פירוט ברמה של קריאות מערכת בודדות ולתפעל מחלקות של קריאות מערכת (קלט/פלט, קריאת קבצים, כתיבת קבצים, שקעים, ioctl, sysctl, השקת תהליך וכו'). . ניתן לקרוא לפונקציות הגבלת גישה בקוד האפליקציה כאשר פעולות מסוימות מבוצעות, לדוגמה, ניתן לשלול גישה לשקעים ולקבצים לאחר פתיחת הקבצים הדרושים ויצירת חיבור לרשת.

המחבר של הנמל של plegde and unveil עבור FreeBSD מתכוון לספק את היכולת לבודד יישומים שרירותיים, שעבורם מוצע כלי העזר הווילון, המאפשר לך להחיל כללים המוגדרים בקובץ נפרד על יישומים. התצורה המוצעת כוללת קובץ עם הגדרות בסיסיות המגדירים מחלקות של קריאות מערכת ונתיבי קבצים טיפוסיים ספציפיים ליישומים מסוימים (עבודה עם סאונד, אינטראקציה ברשת, רישום וכו'), וכן קובץ עם כללי גישה ליישומים ספציפיים.

ניתן להשתמש בכלי השירות של הווילון כדי לבודד את רוב כלי השירות שלא השתנו, תהליכי שרת, יישומים גרפיים ואפילו הפעלות שלמות של שולחן העבודה. ניתן להשתמש בווילון בשילוב עם מנגנוני הבידוד המסופקים על ידי תת-המערכות הכלא והקפסיקום. אפשר גם לארגן בידוד מקונן, כאשר יישומים שהושקו יורשים את הכללים שנקבעו עבור יישום האב, ומשלימים אותם בהגבלות בודדות. חלק מפעולות הקרנל (מתקני איתור באגים, POSIX/SysV IPC, PTYs) מוגנות בנוסף על ידי מנגנון מחסום המונע גישה לאובייקטי ליבה שאינם נוצרים על ידי התהליך הנוכחי או האב.

תהליך יכול להגדיר את הבידוד שלו על ידי קריאת curtainctl או על ידי שימוש בפונקציות plegde() ו- unveil() של libcurtain, בדומה לאלו שנמצאות ב-OpenBSD. כדי לעקוב אחר מנעולים בזמן שהאפליקציה פועלת, מסופק ה-sysctl 'security.curtain.log_level'. הגישה לפרוטוקולי X11 ו-Wayland מופעלת בנפרד על ידי ציון האפשרויות "-X"/"-Y" ו-"-W" בעת הפעלת מסך, אך התמיכה ביישומים גרפיים עדיין לא מספיק מיוצבת ויש לה מספר בעיות לא פתורות ( בעיות מופיעות בעיקר בעת שימוש ב-X11, ותמיכה ב-Wayland מיושמת בצורה הרבה יותר טובה). משתמשים יכולים להוסיף הגבלות נוספות על ידי יצירת קובצי כללים מקומיים (~/.curtain.conf). לדוגמה, כדי לאפשר כתיבה מ-Firfox רק לספריית ~/Downloads/, אתה יכול להוסיף קטע "[firefox]" עם הכלל "~/Downloads/ : rw +".

ההטמעה כוללת את מודול ליבת mac_curtain לבקרת גישה חובה (MAC, Mandatory Access Control), סט תיקונים עבור ליבת FreeBSD עם הטמעת המטפלים והפילטרים הדרושים, ספריית libcurtain לשימוש בפונקציות plegde וחשיפה באפליקציות, כלי השירות של הווילון, קובצי תצורה לדוגמה, ערכת בדיקות ותיקונים עבור תוכניות מסוימות בחלל המשתמש (לדוגמה, לשימוש ב-$TMPDIR כדי לאחד עבודה עם קבצים זמניים). במידת האפשר, המחבר מתכוון למזער את מספר השינויים המצריכים תיקונים לקרנל ולאפליקציות.

מקור: OpenNet.ru