Ny tetikasa Landrun dia mamolavola rafitra mitoka-monina tsy misy tombontsoa

Проект Landrun начал развитие новой системы для изолированного выполнения отдельных приложений. Для изоляции задействован LSM-модуль ядра Linux Landlock, позволяющий обойтись без выполнения привилегированных операций во время создания sandbox-окружения. По своим задачам Landrun близок к утилите Firejail, но отличается более простой реализацией, легковесностью и возможностью работы под обычным непривилегированным пользователем без поставки с флагом suid. Код проекта написан на языке Go и распространяется под лицензией GPLv2.

Механизм Landlock позволяет непривилегированным программам ограничить использование объектов ядра Linux, toy ny ambaratongan'ny rakitra, ny sockets tambajotra, ary ny ioctl. Tsy toy ny namespaces sy ny sivana antso rafitra, ny kernel no mamorona ny tontolo iainana mitokana. Linux в форме дополнительного слоя над существующими системными механизмами управления доступом. Для взаимодействия с подсистемой Landlock в утилите landrun используется библиотека go-landlock от разработчиков LandLock.

Landrun dia manampy amin'ny fampihenana ny loza mety hitranga amin'ny fandeferana ny rafitra lehibe rehefa mampandeha programa tsy azo itokisana na mety ho marefo. Ny fahaiza-manao dia misy ny fanohanana ny famerana ny fidirana mifantina amin'ny haavon'ny lahatahiry tsirairay, ny famehezana ny fahazoan-dàlana handefasana lalana (fanomezana na fandrarana ny famakiana, fanoratana ary famonoana) ary ny fanaraha-maso ny fanombohana sy ny fanekena ny fifandraisana TCP.

Ohatra, amin'ny fampiasana Landrun, azonao atao ny manakana ny dingana iray amin'ny fampandehanana ny rakitra azo tanterahana, mamela ny fanoratana afa-tsy amin'ny subdirectory misaraka miaraka amin'ny angona, manakana ny famoronana socket fihainoana amin'ny fanekena ny fifandraisana amin'ny tambajotra, ary mamela ny fandefasana fangatahana tambajotra amin'ny seranana TCP voafaritra ihany. Amin'ny tranga tsotra indrindra, raha mandrara ny firaketana, ny fandefasana ary ny fahafahan'ny tambajotra, ny programa dia azo tanterahina miaraka amin'ny baiko "landrun --ro /", ary ny mitoka-monina nginx dia azonao ampiasaina: landrun --rox /usr/bin --ro /lib,/lib64,/var/www --rwx /var/log --bind-tcp80,443

В планах на будущее упоминается расширенное управление доступом к файловой системе, поддержка UDP и управление ресурсами процессов. Для ограничения доступа на уровне файловой системы требуется как минимум ядро Linux 5.13, а для сетевых ограничений — 6.8.

Fanampin'izay, tsara ny manamarika fa efa nohavaozina ny codebase Firejail mba ahafahana mampiasa ny subsystem kernel Landlock ho an'ny fitokanana tsy misy famonoan-tena sy ny fiakaran'ny tombontsoa, ​​saingy mbola tsy navoaka ny famoahana miaraka amin'ity fanohanana ity.

Source: opennet.ru