FreeBSD용으로 plegde 및 unveil과 유사한 격리 메커니즘이 개발 중입니다.

FreeBSD의 경우 OpenBSD 프로젝트에서 개발한 plegde 및 unveil 시스템 호출을 연상시키는 애플리케이션 격리 메커니즘의 구현이 제안되었습니다. plegde에서의 격리는 애플리케이션에서 사용되지 않는 시스템 호출에 대한 액세스를 금지하고, unveil에서는 애플리케이션이 작동할 수 있는 개별 파일 경로에 대해서만 선택적으로 액세스를 열어줌으로써 달성됩니다. 애플리케이션의 경우 일종의 시스템 호출 및 파일 경로에 대한 화이트리스트가 형성되며 기타 모든 호출 및 경로는 금지됩니다.

FreeBSD용으로 개발 중인 plegde와 unveil의 유사점의 차이점은 코드를 변경하지 않거나 최소한의 변경만으로 애플리케이션을 격리할 수 있는 추가 계층을 제공한다는 것입니다. OpenBSD에서 plegde 및 unveil은 기본 환경과의 긴밀한 통합을 목표로 하며 각 애플리케이션의 코드에 특수 주석을 추가하여 사용됩니다. 보호 구성을 단순화하기 위해 필터를 사용하면 개별 시스템 호출 수준의 세부 정보를 생략하고 시스템 호출 클래스(입력/출력, 파일 읽기, 파일 쓰기, 소켓, ioctl, sysctl, 프로세스 시작 등)를 조작할 수 있습니다. . 특정 작업이 수행될 때 애플리케이션 코드에서 액세스 제한 기능을 호출할 수 있습니다. 예를 들어 필요한 파일을 열고 네트워크 연결을 설정한 후 소켓 및 파일에 대한 액세스가 거부될 수 있습니다.

FreeBSD용 plegde 및 unveil 포트의 작성자는 별도의 파일에 정의된 규칙을 응용 프로그램에 적용할 수 있는 커튼 유틸리티가 제안된 임의 응용 프로그램을 격리하는 기능을 제공할 계획입니다. 제안된 구성에는 특정 응용 프로그램(사운드 작업, 네트워크 상호 작용, 로깅 등)과 관련된 시스템 호출 클래스와 일반적인 파일 경로를 정의하는 기본 설정이 포함된 파일과 특정 응용 프로그램에 대한 액세스 규칙이 포함된 파일이 포함됩니다.

커튼 유틸리티는 대부분의 수정되지 않은 유틸리티, 서버 프로세스, 그래픽 응용 프로그램 및 전체 데스크탑 세션을 격리하는 데 사용할 수 있습니다. 커튼은 Jail 및 Capsicum 하위 시스템에서 제공하는 격리 메커니즘과 함께 사용할 수 있습니다. 시작된 응용 프로그램이 상위 응용 프로그램에 대해 설정된 규칙을 상속할 때 중첩된 격리를 구성하여 개별 제한 사항을 보완하는 것도 가능합니다. 일부 커널 작업(디버깅 기능, POSIX/SysV IPC, PTY)은 현재 또는 상위 프로세스에서 생성되지 않은 커널 개체에 대한 액세스를 방지하는 장벽 메커니즘을 통해 추가로 보호됩니다.

프로세스는 OpenBSD에 있는 것과 유사한 커튼ctl을 호출하거나 libcurtain의 plegde() 및 unveil() 함수를 사용하여 자체 격리를 구성할 수 있습니다. 애플리케이션이 실행되는 동안 잠금을 추적하기 위해 sysctl 'security.curtain.log_level'이 제공됩니다. X11 및 Wayland 프로토콜에 대한 액세스는 커튼 실행 시 "-X"/"-Y" 및 "-W" 옵션을 지정하여 별도로 활성화되지만 그래픽 응용 프로그램에 대한 지원은 아직 충분히 안정화되지 않았으며 해결되지 않은 여러 문제가 있습니다( 문제는 주로 X11을 사용할 때 나타나며 Wayland 지원은 훨씬 더 잘 구현됩니다. 사용자는 로컬 규칙 파일(~/.curtain.conf)을 생성하여 추가 제한 사항을 추가할 수 있습니다. 예를 들어, Firfox에서 ~/Downloads/ 디렉토리에만 쓰기를 허용하려면 "~/Downloads/ : rw +" 규칙을 사용하여 "[firefox]" 섹션을 추가할 수 있습니다.

구현에는 필수 액세스 제어(MAC, Mandatory Access Control)를 위한 mac_curtain 커널 모듈, 필요한 핸들러 및 필터 구현이 포함된 FreeBSD 커널용 패치 세트, 애플리케이션에서 plegde 및 unveil 기능을 사용하기 위한 libcurtain 라이브러리, 커튼 유틸리티, 예제 구성 파일, 사용자 공간의 일부 프로그램에 대한 테스트 및 패치 세트(예: $TMPDIR을 사용하여 임시 파일과 작업을 통합하는 경우) 가능하다면 저자는 커널과 애플리케이션에 대한 패치가 필요한 변경 횟수를 최소화하려고 합니다.

출처 : opennet.ru