យន្តការឯកោស្រដៀងទៅនឹង plegde និង unveil កំពុងត្រូវបានបង្កើតឡើងសម្រាប់ FreeBSD

សម្រាប់ FreeBSD ការអនុវត្តយន្តការឯកោកម្មវិធីមួយត្រូវបានស្នើឡើង ដោយរំឮកដល់ការសន្យា និងបង្ហាញការហៅជាប្រព័ន្ធដែលបង្កើតឡើងដោយគម្រោង OpenBSD ។ ភាពឯកោនៅក្នុង plegde ត្រូវបានសម្រេចដោយការហាមឃាត់ការចូលប្រើការហៅជាប្រព័ន្ធដែលមិនត្រូវបានប្រើនៅក្នុងកម្មវិធី ហើយនៅក្នុងការបង្ហាញដោយជ្រើសរើសបើកការចូលប្រើសម្រាប់តែផ្លូវឯកសារនីមួយៗដែលកម្មវិធីអាចដំណើរការជាមួយបាន។ សម្រាប់កម្មវិធី ប្រភេទនៃបញ្ជីសនៃការហៅប្រព័ន្ធ និងផ្លូវឯកសារត្រូវបានបង្កើតឡើង ហើយការហៅទូរសព្ទ និងផ្លូវផ្សេងទៀតទាំងអស់ត្រូវបានហាមឃាត់។

ភាពខុសគ្នារវាង FreeBSD analogue នៃ plegde និង unveil កើតឡើងចំពោះការផ្តល់ស្រទាប់បន្ថែមដែលអនុញ្ញាតឱ្យអ្នកបំបែកកម្មវិធីដោយមិនធ្វើការផ្លាស់ប្តូរកូដរបស់ពួកគេ ឬជាមួយនឹងការផ្លាស់ប្តូរតិចតួចបំផុត។ សូមចាំថានៅក្នុង OpenBSD, plegde និង unveil មានគោលបំណងធ្វើសមាហរណកម្មយ៉ាងតឹងរ៉ឹងជាមួយនឹងបរិយាកាសមូលដ្ឋាន ហើយត្រូវបានប្រើប្រាស់ដោយការបន្ថែមចំណារពន្យល់ពិសេសទៅកាន់កូដនៃកម្មវិធីនីមួយៗ។ ដើម្បីសម្រួលដល់ការរៀបចំនៃការការពារ តម្រងអនុញ្ញាតឱ្យអ្នកធ្វើដោយគ្មានព័ត៌មានលម្អិតនៅកម្រិតនៃការហៅប្រព័ន្ធបុគ្គល និងរៀបចំថ្នាក់នៃការហៅតាមប្រព័ន្ធ (បញ្ចូល/លទ្ធផល ការអានឯកសារ ការសរសេរឯកសារ រន្ធ ioctl sysctl ការបើកដំណើរការ។ល។) . មុខងាររឹតបន្តឹងការចូលប្រើអាចត្រូវបានគេហៅថានៅក្នុងកូដកម្មវិធី ដោយសារសកម្មភាពជាក់លាក់ត្រូវបានអនុវត្ត ឧទាហរណ៍ ការចូលប្រើរន្ធ និងឯកសារអាចត្រូវបានបដិសេធបន្ទាប់ពីបើកឯកសារចាំបាច់ និងបង្កើតការតភ្ជាប់បណ្តាញ។

អ្នកនិពន្ធនៃច្រកនៃ plegde និងបង្ហាញសម្រាប់ FreeBSD មានបំណងផ្តល់នូវសមត្ថភាពក្នុងការញែកកម្មវិធីតាមអំពើចិត្ត ដែលឧបករណ៍ប្រើប្រាស់វាំងននត្រូវបានស្នើឡើង ដែលអនុញ្ញាតឱ្យអ្នកអនុវត្តច្បាប់ដែលបានកំណត់ក្នុងឯកសារដាច់ដោយឡែកមួយចំពោះកម្មវិធី។ ការកំណត់រចនាសម្ព័ន្ធដែលបានស្នើឡើងរួមមានឯកសារដែលមានការកំណត់មូលដ្ឋានដែលកំណត់ថ្នាក់នៃការហៅប្រព័ន្ធ និងផ្លូវឯកសារធម្មតាដែលជាក់លាក់ចំពោះកម្មវិធីមួយចំនួន (ធ្វើការជាមួយសំឡេង អន្តរកម្មបណ្តាញ ការកត់ត្រា។ល។) ក៏ដូចជាឯកសារដែលមានច្បាប់ចូលប្រើសម្រាប់កម្មវិធីជាក់លាក់។

ឧបករណ៍ប្រើប្រាស់វាំងននអាចត្រូវបានប្រើដើម្បីញែកឧបករណ៍ប្រើប្រាស់ដែលមិនបានកែប្រែភាគច្រើន ដំណើរការម៉ាស៊ីនមេ កម្មវិធីក្រាហ្វិក និងសូម្បីតែវគ្គកុំព្យូទ័រទាំងមូល។ វាំងននអាចត្រូវបានប្រើដោយភ្ជាប់ជាមួយយន្តការឯកោដែលផ្តល់ដោយប្រព័ន្ធរង Jail និង Capsicum ។ វាក៏អាចធ្វើទៅបានផងដែរក្នុងការរៀបចំភាពឯកោដោយឯកកោ នៅពេលដែលកម្មវិធីចាប់ផ្តើមទទួលមរតកពីច្បាប់ដែលបានកំណត់សម្រាប់កម្មវិធីមេ ដោយបន្ថែមពួកវាជាមួយនឹងការរឹតបន្តឹងបុគ្គល។ ប្រតិបត្តិការខឺណែលមួយចំនួន (គ្រឿងបរិក្ខារបំបាត់កំហុស POSIX/SysV IPC, PTY) ត្រូវបានការពារបន្ថែមដោយយន្តការរនាំងដែលការពារការចូលទៅកាន់វត្ថុខឺណែលដែលមិនត្រូវបានបង្កើតឡើងដោយដំណើរការបច្ចុប្បន្ន ឬមេ។

ដំណើរការមួយអាចកំណត់រចនាសម្ព័ន្ធភាពឯកោរបស់ខ្លួនដោយការហៅទៅកាន់ curtainctl ឬដោយប្រើមុខងាររបស់ libcurtain's plegde() និង unveil() ដែលស្រដៀងទៅនឹងអ្វីដែលមាននៅក្នុង OpenBSD ។ ដើម្បីតាមដានការចាក់សោខណៈពេលដែលកម្មវិធីកំពុងដំណើរការ sysctl 'security.curtain.log_level' ត្រូវបានផ្តល់ជូន។ ការចូលប្រើពិធីការ X11 និង Wayland ត្រូវបានបើកដោយឡែកពីគ្នាដោយបញ្ជាក់ជម្រើស "-X"/"-Y" និង "-W" នៅពេលដំណើរការវាំងនន ប៉ុន្តែការគាំទ្រសម្រាប់កម្មវិធីក្រាហ្វិកមិនទាន់មានស្ថេរភាពគ្រប់គ្រាន់ និងមានបញ្ហាមួយចំនួនដែលមិនទាន់បានដោះស្រាយ ( បញ្ហាលេចឡើងជាចម្បងនៅពេលប្រើ X11 ហើយការគាំទ្រ Wayland ត្រូវបានអនុវត្តកាន់តែប្រសើរ) ។ អ្នក​ប្រើ​អាច​បន្ថែម​ការ​រឹត​បន្តឹង​បន្ថែម​ដោយ​ការ​បង្កើត​ឯកសារ​ច្បាប់​មូលដ្ឋាន (~/.curtain.conf)។ ឧទាហរណ៍ ដើម្បីអនុញ្ញាតឱ្យសរសេរពី Firfox ទៅកាន់ថត ~/Downloads/ អ្នកអាចបន្ថែមផ្នែក “[firefox]” ជាមួយនឹងច្បាប់ “~/Downloads/ : rw +”។

ការអនុវត្តរួមមានម៉ូឌុលខឺណែល mac_curtain សម្រាប់ការគ្រប់គ្រងការចូលប្រើជាកាតព្វកិច្ច (MAC, Mandatory Access Control) សំណុំនៃបំណះសម្រាប់ខឺណែល FreeBSD ជាមួយនឹងការអនុវត្តឧបករណ៍ដោះស្រាយ និងតម្រងចាំបាច់ បណ្ណាល័យ libcurtain សម្រាប់ប្រើមុខងារ plegde និងបង្ហាញនៅក្នុងកម្មវិធី។ ឧបករណ៍ប្រើប្រាស់វាំងនន ឧទាហរណ៍ឯកសារកំណត់រចនាសម្ព័ន្ធ ការធ្វើតេស្តសំណុំ និងបំណះសម្រាប់កម្មវិធីមួយចំនួនក្នុងចន្លោះអ្នកប្រើប្រាស់ (ឧទាហរណ៍ សម្រាប់ការប្រើប្រាស់ $TMPDIR ដើម្បីបង្រួបបង្រួមការងារជាមួយឯកសារបណ្តោះអាសន្ន)។ នៅ​កន្លែង​ដែល​អាច​ធ្វើ​ទៅ​បាន អ្នក​និពន្ធ​មាន​បំណង​កាត់​បន្ថយ​ចំនួន​នៃ​ការ​ផ្លាស់​ប្តូរ​ដែល​តម្រូវ​ឱ្យ​មាន​បំណះ​ដល់​ខឺណែល និង​កម្មវិធី។

ប្រភព: opennet.ru