फ्रीबीएसडीसाठी plegde आणि अनावरण सारखीच एक अलगाव यंत्रणा विकसित केली जात आहे

FreeBSD साठी, OpenBSD प्रकल्पाद्वारे विकसित केलेल्या plegde आणि अनावरण प्रणाली कॉलची आठवण करून देणारी, ऍप्लिकेशन आयसोलेशन मेकॅनिझमची अंमलबजावणी प्रस्तावित आहे. ऍप्लिकेशनमध्ये वापरल्या जाणार्‍या सिस्टम कॉल्सवर प्रवेश प्रतिबंधित करून आणि ऍप्लिकेशनसह कार्य करू शकणार्‍या वैयक्तिक फाईल पाथवर निवडकपणे ऍक्सेस उघडून अनावरण करून plegde मध्ये अलगाव प्राप्त केला जातो. अनुप्रयोगासाठी, सिस्टम कॉल आणि फाईल पथांची एक प्रकारची पांढरी यादी तयार केली जाते आणि इतर सर्व कॉल आणि मार्ग प्रतिबंधित आहेत.

FreeBSD साठी विकसित केले जाणारे plegde आणि unveil च्या analogue मधील फरक अतिरिक्त स्तराच्या तरतुदीत येतो जो तुम्हाला अनुप्रयोगांना त्यांच्या कोडमध्ये बदल न करता किंवा कमीत कमी बदल न करता वेगळे करू देतो. लक्षात ठेवा की OpenBSD मध्ये, plegde आणि unveil चे उद्दिष्ट अंतर्निहित वातावरणाशी घट्ट एकीकरण करण्यासाठी आहे आणि प्रत्येक अनुप्रयोगाच्या कोडमध्ये विशेष भाष्ये जोडून वापरली जातात. संरक्षणाची संस्था सुलभ करण्यासाठी, फिल्टर्स तुम्हाला वैयक्तिक सिस्टम कॉलच्या स्तरावर तपशीलांसह वितरीत करण्यास आणि सिस्टम कॉलचे वर्ग हाताळण्याची परवानगी देतात (इनपुट/आउटपुट, फाइल्स वाचणे, फाइल्स लिहिणे, सॉकेट्स, ioctl, sysctl, प्रक्रिया लॉन्च, इ.) . ऍप्लिकेशन कोडमध्ये प्रवेश प्रतिबंध कार्ये कॉल केली जाऊ शकतात कारण काही क्रिया केल्या जातात, उदाहरणार्थ, आवश्यक फायली उघडल्यानंतर आणि नेटवर्क कनेक्शन स्थापित केल्यानंतर सॉकेट्स आणि फाइल्समध्ये प्रवेश नाकारला जाऊ शकतो.

पोर्ट ऑफ प्लेग्डेचे लेखक आणि फ्रीबीएसडीचे अनावरण अनियंत्रित अनुप्रयोगांना वेगळे करण्याची क्षमता प्रदान करण्याचा मानस आहे, ज्यासाठी पडदा उपयुक्तता प्रस्तावित आहे, जी तुम्हाला अनुप्रयोगांसाठी वेगळ्या फाईलमध्ये परिभाषित नियम लागू करण्याची परवानगी देते. प्रस्तावित कॉन्फिगरेशनमध्ये मूलभूत सेटिंग्ज असलेली फाइल समाविष्ट आहे जी सिस्टम कॉलचे वर्ग आणि विशिष्ट अनुप्रयोगांसाठी विशिष्ट फाइल पथ (ध्वनी, नेटवर्क परस्परसंवाद, लॉगिंग इत्यादीसह कार्य करणे), तसेच विशिष्ट अनुप्रयोगांसाठी प्रवेश नियमांसह फाइल समाविष्ट करते.

कर्टन युटिलिटीचा वापर बहुतेक बदल न केलेल्या युटिलिटीज, सर्व्हर प्रक्रिया, ग्राफिकल ऍप्लिकेशन्स आणि अगदी संपूर्ण डेस्कटॉप सत्रांना वेगळे करण्यासाठी केला जाऊ शकतो. जेल आणि कॅप्सिकम उपप्रणालींद्वारे प्रदान केलेल्या अलगाव यंत्रणेसह पडदा वापरला जाऊ शकतो. नेस्टेड आयसोलेशन आयोजित करणे देखील शक्य आहे, जेव्हा लॉन्च केलेले ऍप्लिकेशन पालक ऍप्लिकेशनसाठी सेट केलेल्या नियमांचे वारसा घेतात, त्यांना वैयक्तिक निर्बंधांसह पूरक करतात. काही कर्नल ऑपरेशन्स (डीबगिंग सुविधा, POSIX/SysV IPC, PTYs) अतिरिक्तपणे एका अडथळा यंत्रणेद्वारे संरक्षित केले जातात जे वर्तमान किंवा मूळ प्रक्रियेद्वारे तयार न केलेल्या कर्नल ऑब्जेक्ट्समध्ये प्रवेश प्रतिबंधित करते.

एक प्रक्रिया curtainctl ला कॉल करून किंवा OpenBSD मध्ये आढळलेल्या प्रमाणेच libcurtain च्या plegde() आणि unveil() फंक्शन्स वापरून स्वतःचे अलगाव कॉन्फिगर करू शकते. ऍप्लिकेशन चालू असताना लॉक ट्रॅक करण्यासाठी, sysctl 'security.curtain.log_level' प्रदान केले आहे. पडदा चालवताना "-X"/"-Y" आणि "-W" पर्याय निर्दिष्ट करून X11 आणि Wayland प्रोटोकॉलमध्ये प्रवेश स्वतंत्रपणे सक्षम केला जातो, परंतु ग्राफिकल ऍप्लिकेशन्ससाठी समर्थन अद्याप पुरेसे स्थिर झालेले नाही आणि अनेक निराकरण न झालेल्या समस्या आहेत ( X11 वापरताना समस्या प्रामुख्याने दिसून येतात, आणि Wayland समर्थन अधिक चांगले लागू केले जाते). वापरकर्ते स्थानिक नियम फाइल्स (~/.curtain.conf) तयार करून अतिरिक्त निर्बंध जोडू शकतात. उदाहरणार्थ, Firfox वरून फक्त ~/Downloads/ डिरेक्टरीमध्ये लिहिण्याची परवानगी देण्यासाठी, तुम्ही “~/Downloads/ : rw +” या नियमासह “[फायरफॉक्स]” विभाग जोडू शकता.

अंमलबजावणीमध्ये अनिवार्य प्रवेश नियंत्रणासाठी mac_curtain कर्नल मॉड्यूल (MAC, अनिवार्य प्रवेश नियंत्रण), आवश्यक हँडलर आणि फिल्टर्सच्या अंमलबजावणीसह FreeBSD कर्नलसाठी पॅचचा संच, plegde वापरण्यासाठी libcurtain लायब्ररी आणि ऍप्लिकेशन्समधील फंक्शन्सचे अनावरण, पडदा उपयुक्तता, उदाहरण कॉन्फिगरेशन फाइल्स, वापरकर्त्याच्या जागेतील काही प्रोग्राम्ससाठी एक सेट चाचण्या आणि पॅच (उदाहरणार्थ, तात्पुरत्या फाइल्ससह कार्य एकत्र करण्यासाठी $TMPDIR वापरण्यासाठी). शक्य असेल तेथे, कर्नल आणि ऍप्लिकेशन्समध्ये पॅच आवश्यक असलेल्या बदलांची संख्या कमी करण्याचा लेखकाचा हेतू आहे.

स्त्रोत: opennet.ru