За FreeBSD се развива механизам за изолација сличен на plegde и unveil

За FreeBSD, се предлага имплементација на механизам за изолација на апликација, што потсетува на повиците на системот Plegde и Enveil, развиени од проектот OpenBSD. Изолацијата во Plegde се постигнува со забрана на пристап до системски повици што не се користат во апликацијата и во откривањето со селективно отворање пристап само до одделни патеки на датотеки со кои апликацијата може да работи. За апликацијата се формира еден вид бела листа на системски повици и патеки на датотеки, а сите други повици и патеки се забранети.

Разликата помеѓу аналогот на Plegde и Откривањето што се развива за FreeBSD се сведува на обезбедување на дополнителен слој што ви овозможува да изолирате апликации без да направите промени во нивниот код или со минимални промени. Потсетете се дека во OpenBSD, Plegde и Откриени се насочени кон тесна интеграција со основната околина и се користат со додавање на специјални прибелешки во кодот на секоја апликација. За да ја поедноставите организацијата на заштита, филтрите ви овозможуваат да избегнете грануларност на ниво на индивидуални повици на системот и да манипулирате со часовите на системски повици (влез/излез, датотеки за читање, датотеки за пишување, приклучоци, IOCTL, SYSCTL, лансирање на процеси, итн.). Функциите за ограничување на пристапот може да се повикаат во кодот за апликација бидејќи се извршуваат одредени активности, на пример, пристапот до приклучоци и датотеки може да се одбие по отворањето на потребните датотеки и воспоставување мрежна врска.

Авторот на пристаништето Плегде и открива за FreeBSD има намера да обезбеди можност да изолира произволни апликации, за кои се предлага алатка за завеси, што ви овозможува да примените правила дефинирани во посебна датотека на апликации. Предложената конфигурација вклучува датотека со основни поставки што дефинираат класи на системски повици и типични патеки на датотеки специфични за одредени апликации (работа со звук, мрежна интеракција, логирање и сл.), Како и датотека со правила за пристап за специфични апликации.

Услужната алатка за завеса може да се користи за изолирање на повеќето немодифицирани алатки, процеси на сервер, графички апликации, па дури и цели сесии на работната површина. Завесата може да се користи заедно со механизмите за изолација обезбедени од потсистемите Jail и Capsicum. Исто така, можно е да се организира вгнездена изолација, кога стартуваните апликации ги наследуваат правилата поставени за матичната апликација, дополнувајќи ги со индивидуални ограничувања. Некои операции на кернелот (објекти за дебагирање, POSIX/SysV IPC, PTY) се дополнително заштитени со бариерен механизам кој го спречува пристапот до објектите на јадрото кои не се создадени од тековниот или родителскиот процес.

Процесот може да ја конфигурира сопствената изолација со повикување на CurnateCtl или со употреба на функциите на Plegde () на Libcurtain () и откривање (), слични на оние што се наоѓаат во OpenBSD. За следење на бравите додека апликацијата работи, обезбеден е sysctl „security.curtain.log_level“. Пристапот до протоколите X11 и Wayland е овозможен одделно со наведување на опциите „-X“/“-Y“ и „-W“ кога се работи завесата, но поддршката за графичките апликации сè уште не е доволно стабилизирана и има голем број нерешени проблеми ( проблемите главно се појавуваат при користење на X11, а поддршката за Wayland се имплементира многу подобро). Корисниците можат да додадат дополнителни ограничувања со создавање датотеки со локални правила (~/.curtain.conf). На пример, за да дозволите пишување од Firfox само во директориумот ~/Downloads/, можете да додадете дел „[firefox]“ со правилото „~/Downloads/ : rw +“.

Имплементацијата го вклучува модулот mac_curtain kernel за задолжителна контрола на пристап (MAC, Задолжителна контрола на пристап), збир на закрпи за кернелот FreeBSD со имплементација на потребните управувачи и филтри, библиотеката libcurtain за користење на функциите plegde и unveil во апликациите, алатката за завеса, примери за конфигурациски датотеки, комплет тестови и закрпи за некои програми во корисничкиот простор (на пример, за користење $TMPDIR за обединување на работата со привремените датотеки). Каде што е можно, авторот има намера да го минимизира бројот на промени кои бараат закрпи во јадрото и апликациите.

Извор: opennet.ru