ഈട് ഐസൊലേഷൻ മെക്കാനിസം ലിനക്സിലേക്ക് പോർട്ട് ചെയ്യാനുള്ള പ്രോജക്റ്റ്

കോസ്‌മോപൊളിറ്റൻ സ്റ്റാൻഡേർഡ് സി ലൈബ്രറിയുടെയും റെഡ്ബീൻ പ്ലാറ്റ്‌ഫോമിന്റെയും രചയിതാവ് ലിനക്‌സിനായി പ്രതിജ്ഞ() ഐസൊലേഷൻ സംവിധാനം നടപ്പിലാക്കുന്നതായി പ്രഖ്യാപിച്ചു. പ്രതിജ്ഞ ആദ്യം വികസിപ്പിച്ചെടുത്തത് OpenBSD പ്രോജക്റ്റ് ആണ്, കൂടാതെ ഉപയോഗിക്കാത്ത സിസ്റ്റം കോളുകൾ ആക്‌സസ് ചെയ്യുന്നതിൽ നിന്ന് അപ്ലിക്കേഷനുകളെ തിരഞ്ഞെടുത്ത് നിരോധിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നു (അപ്ലിക്കേഷനായി സിസ്റ്റം കോളുകളുടെ ഒരു തരം വൈറ്റ് ലിസ്റ്റ് രൂപീകരിച്ചിരിക്കുന്നു, മറ്റ് കോളുകൾ നിരോധിച്ചിരിക്കുന്നു). Linux-ൽ ലഭ്യമായ seccomp പോലുള്ള സിസ്റ്റം കോൾ നിയന്ത്രണ സംവിധാനങ്ങളിൽ നിന്ന് വ്യത്യസ്തമായി, പ്രതിജ്ഞാ സംവിധാനം യഥാർത്ഥത്തിൽ രൂപകൽപ്പന ചെയ്തിരിക്കുന്നത് കഴിയുന്നത്ര ലളിതമാണ്.

സിസ്‌ട്രേസ് മെക്കാനിസം ഉപയോഗിച്ച് ഓപ്പൺബിഎസ്ഡി ബേസ് എൻവയോൺമെന്റിൽ ആപ്ലിക്കേഷനുകൾ ഒറ്റപ്പെടുത്താനുള്ള പരാജയപ്പെട്ട സംരംഭം, വ്യക്തിഗത സിസ്റ്റം കോളുകളുടെ തലത്തിലുള്ള ഒറ്റപ്പെടൽ വളരെ സങ്കീർണ്ണവും സമയമെടുക്കുന്നതുമാണെന്ന് കാണിച്ചു. ഒരു ബദലായി, ഒരു പ്രതിജ്ഞ നിർദ്ദേശിച്ചു, ഇത് വിശദാംശങ്ങളിലേക്ക് പോകാതെയും റെഡിമെയ്ഡ് ആക്സസ് ക്ലാസുകൾ കൈകാര്യം ചെയ്യാതെയും ഒറ്റപ്പെടൽ നിയമങ്ങൾ സൃഷ്ടിക്കുന്നത് സാധ്യമാക്കി. ഉദാഹരണത്തിന്, ഓഫർ ചെയ്യുന്ന ക്ലാസുകൾ stdio (ഇൻപുട്ട്/ഔട്ട്‌പുട്ട്), rpath (റീഡ്-ഒൺലി ഫയലുകൾ), wpath (ഫയലുകൾ എഴുതുക), cpath (ഫയലുകൾ സൃഷ്‌ടിക്കുക), tmppath (താത്കാലിക ഫയലുകൾക്കൊപ്പം പ്രവർത്തിക്കുക), inet (നെറ്റ്‌വർക്ക് സോക്കറ്റുകൾ), unix ( unix സോക്കറ്റുകൾ), dns (DNS റെസല്യൂഷൻ), getpw (ഉപയോക്തൃ ഡാറ്റാബേസിലേക്കുള്ള പ്രവേശനം വായിക്കുക), ioctl (ioctl കോൾ), പ്രോക് (പ്രോസസ് മാനേജ്മെന്റ്), എക്സിക് (പ്രോസസ് ലോഞ്ച്), ഐഡി (ആക്സസ് റൈറ്റ്സ് മാനേജ്മെന്റ്).

സിസ്റ്റം കോളുകൾക്കൊപ്പം പ്രവർത്തിക്കുന്നതിനുള്ള നിയമങ്ങൾ വ്യാഖ്യാനങ്ങളുടെ രൂപത്തിൽ വ്യക്തമാക്കിയിട്ടുണ്ട്, സിസ്റ്റം കോളുകളുടെ അനുവദനീയമായ ക്ലാസുകളുടെ ഒരു ലിസ്റ്റ്, ആക്സസ് അനുവദനീയമായ ഫയൽ പാതകളുടെ ഒരു നിര എന്നിവ ഉൾപ്പെടുന്നു. പരിഷ്കരിച്ച ആപ്ലിക്കേഷൻ നിർമ്മിച്ച് സമാരംഭിച്ചതിന് ശേഷം, നിർദ്ദിഷ്ട നിയമങ്ങൾ പാലിക്കുന്നുണ്ടോ എന്ന് നിരീക്ഷിക്കുന്നതിനുള്ള ജോലി കേർണൽ ഏറ്റെടുക്കുന്നു.

FreeBSD-യ്‌ക്കായി പ്രതിജ്ഞയുടെ ഒരു പ്രത്യേക നിർവ്വഹണം വികസിപ്പിച്ചുകൊണ്ടിരിക്കുന്നു, ഇത് ആപ്ലിക്കേഷനുകളെ അവയുടെ കോഡിൽ മാറ്റമില്ലാതെ ഒറ്റപ്പെടുത്താനുള്ള കഴിവ് കൊണ്ട് വേർതിരിച്ചിരിക്കുന്നു, അതേസമയം OpenBSD-യിൽ പ്രതിജ്ഞാ കോൾ അടിസ്ഥാന പരിസ്ഥിതിയുമായി കർശനമായി സംയോജിപ്പിക്കുന്നതിനും ഓരോന്നിന്റെയും കോഡിലേക്ക് വ്യാഖ്യാനങ്ങൾ ചേർക്കുന്നതിനും ലക്ഷ്യമിടുന്നു. അപേക്ഷ.

Linux-നുള്ള ഈട് പോർട്ടിന്റെ ഡെവലപ്പർമാർ FreeBSD-യുടെ ഉദാഹരണം എടുത്തു, കോഡിൽ മാറ്റങ്ങൾ വരുത്തുന്നതിനുപകരം, ആപ്ലിക്കേഷൻ കോഡ് മാറ്റാതെ തന്നെ നിയന്ത്രണങ്ങൾ പ്രയോഗിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്ന ഒരു ആഡ്-ഓൺ utility pledge.com തയ്യാറാക്കി. ഉദാഹരണത്തിന്, stdio, rpath, inet, threadstdio സിസ്റ്റം കോൾ ക്ലാസുകളിലേക്ക് മാത്രം ആക്‌സസ് ഉള്ള curl യൂട്ടിലിറ്റി പ്രവർത്തിപ്പിക്കുന്നതിന്, “./pledge.com -p 'stdio rpath inet thread' curl http://example.com” റൺ ചെയ്യുക.

RHEL6-ൽ ആരംഭിക്കുന്ന എല്ലാ ലിനക്സ് വിതരണങ്ങളിലും പ്ലെഡ്ജ് യൂട്ടിലിറ്റി പ്രവർത്തിക്കുന്നു, കൂടാതെ റൂട്ട് ആക്സസ് ആവശ്യമില്ല. കൂടാതെ, കോസ്‌മോപൊളിറ്റൻ ലൈബ്രറിയെ അടിസ്ഥാനമാക്കി, സി ഭാഷയിലെ പ്രോഗ്രാം കോഡിലെ നിയന്ത്രണങ്ങൾ കൈകാര്യം ചെയ്യുന്നതിനായി ഒരു API നൽകിയിട്ടുണ്ട്, ഇത് മറ്റ് കാര്യങ്ങൾക്കൊപ്പം, ചില ആപ്ലിക്കേഷൻ ഫംഗ്‌ഷനുകളുമായി ബന്ധപ്പെട്ട് ആക്‌സസ് തിരഞ്ഞെടുത്ത് നിയന്ത്രിക്കുന്നതിന് എൻക്ലേവുകൾ സൃഷ്ടിക്കാൻ അനുവദിക്കുന്നു.

നടപ്പിലാക്കുന്നതിന് കേർണലിൽ മാറ്റങ്ങൾ ആവശ്യമില്ല - പ്രതിജ്ഞ നിയന്ത്രണങ്ങൾ SECCOMP BPF നിയമങ്ങളിലേക്ക് വിവർത്തനം ചെയ്യുകയും നേറ്റീവ് ലിനക്സ് സിസ്റ്റം കോൾ ഐസൊലേഷൻ മെക്കാനിസം ഉപയോഗിച്ച് പ്രോസസ്സ് ചെയ്യുകയും ചെയ്യുന്നു. ഉദാഹരണത്തിന്, കോൾ പ്രതിജ്ഞ ("stdio rpath", 0) ഒരു BPF ഫിൽട്ടർ സ്റ്റാറ്റിക് കോൺസ്റ്റ് സ്ട്രക്റ്റ് സോക്ക്_ഫിൽട്ടറിലേക്ക് പരിവർത്തനം ചെയ്യും kFilter[] = { /* L0*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, syscall, 0 ), / * L14*/ BPF_STMT(BPF_LD | BPF_W | BPF_ABS, OFF(args[1])), /* L1*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, 0, 2 -* 2, 4), / / BPF_JUMP( BPF_JMP | BPF_JEQ | BPF_K, 3, 0, 3 - 10), /* L0*/ BPF_STMT(BPF_LD | BPF_W | BPF_ABS, OFF(args[13])), /* L4*/BPF_ST_ | BPF_K, ~4x1), /* L5*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, 0, 80800 - 6, 1), /* L8*/ BPF_JUMP(BPF_JMP | BPF_JEQ, | BPF_JEQ, 7, , /* L0*/ BPF_STMT(BPF_LD | BPF_W | BPF_ABS, OFF(args[7])), /* L2*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, 0, 13 - 8, /*L8), /*L2 Bpf_jump | bpf_jeq | bpf_jeq | BPF_JMP | BPF_JMP | BPF_JMP | BPF_JMP | BPF_9 * / BPF_STMT (BPF_RET | BPF_K, SECCOMP_RET_ALLOW), /*L0*/ BPF_STMT(BPF_LD | BPF_W | BPF_ABS, OFF(nr)), /*L12*/* അടുത്ത ഫിൽട്ടർ */ };

അവലംബം: opennet.ru