FreeBSD को लागि plegde र अनावरण जस्तै एक अलगाव संयन्त्र विकास भइरहेको छ

FreeBSD को लागि, ओपनबीएसडी परियोजना द्वारा विकास गरिएको plegde र अनावरण प्रणाली कलहरूको सम्झना दिलाउने, अनुप्रयोग अलगाव संयन्त्रको कार्यान्वयन प्रस्तावित छ। एप्लिकेसनमा प्रयोग नगरिएका प्रणाली कलहरूमा पहुँच निषेध गरेर, र एप्लिकेसनले काम गर्न सक्ने व्यक्तिगत फाईल मार्गहरूमा मात्र पहुँच खोलेर अनावरण गरेर plegde मा अलगाव प्राप्त गरिन्छ। अनुप्रयोगको लागि, प्रणाली कल र फाइल मार्गहरूको एक प्रकारको सेतो सूची बनाइएको छ, र अन्य सबै कलहरू र मार्गहरू निषेधित छन्।

FreeBSD का लागि विकसित भइरहेको plegde र अनावरणको एनालग बीचको भिन्नता एक अतिरिक्त तहको प्रावधानमा आउँछ जसले तपाईंलाई अनुप्रयोगहरूलाई तिनीहरूको कोडमा परिवर्तन नगरी वा न्यूनतम परिवर्तनहरू बिना अलग गर्न अनुमति दिन्छ। याद गर्नुहोस् कि OpenBSD मा, plegde र unveil को उद्देश्य अन्तर्निहित वातावरणसँग कडा एकीकरण हो र प्रत्येक अनुप्रयोगको कोडमा विशेष एनोटेसनहरू थपेर प्रयोग गरिन्छ। सुरक्षाको संगठनलाई सरल बनाउन, फिल्टरहरूले तपाईंलाई व्यक्तिगत प्रणाली कलहरूको स्तरमा विस्तृत रूपमा वितरण गर्न र प्रणाली कलहरूको कक्षाहरू (इनपुट/आउटपुट, पढ्ने फाइलहरू, फाइलहरू लेख्ने, सकेटहरू, ioctl, sysctl, प्रक्रिया प्रक्षेपण, आदि) हेरफेर गर्न अनुमति दिन्छ। । पहुँच प्रतिबन्ध प्रकार्यहरू अनुप्रयोग कोडमा कल गर्न सकिन्छ किनकि निश्चित कार्यहरू प्रदर्शन गरिन्छ, उदाहरणका लागि, आवश्यक फाइलहरू खोलेर र नेटवर्क जडान स्थापना गरेपछि सकेटहरू र फाइलहरूमा पहुँच अस्वीकार गर्न सकिन्छ।

Plegde को पोर्टका लेखक र FreeBSD को लागि अनावरण मनमानी अनुप्रयोगहरू अलग गर्ने क्षमता प्रदान गर्न चाहन्छ, जसको लागि पर्दा उपयोगिता प्रस्तावित छ, जसले तपाईंलाई अनुप्रयोगहरूमा छुट्टै फाइलमा परिभाषित नियमहरू लागू गर्न अनुमति दिन्छ। प्रस्तावित कन्फिगरेसनले आधारभूत सेटिङहरू भएको फाइल समावेश गर्दछ जसले प्रणाली कलहरूको वर्गहरू र निश्चित अनुप्रयोगहरू (ध्वनि, सञ्जाल अन्तरक्रिया, लगिङ, इत्यादि) सँग काम गर्ने विशिष्ट फाइल मार्गहरू परिभाषित गर्दछ, साथै विशेष अनुप्रयोगहरूको पहुँच नियमहरू भएको फाइल समावेश गर्दछ।

पर्दा उपयोगिता धेरै जसो अपरिवर्तित उपयोगिताहरू, सर्भर प्रक्रियाहरू, ग्राफिकल अनुप्रयोगहरू, र सम्पूर्ण डेस्कटप सत्रहरूलाई अलग गर्न प्रयोग गर्न सकिन्छ। पर्दा जेल र क्याप्सिकम उपप्रणाली द्वारा प्रदान गरिएको अलगाव संयन्त्र संग संयोजन मा प्रयोग गर्न सकिन्छ। नेस्टेड आइसोलेसनलाई व्यवस्थित गर्न पनि सम्भव छ, जब लन्च गरिएका एप्लिकेसनहरूले अभिभावक एप्लिकेसनका लागि सेट गरिएका नियमहरू इनहेरिट गर्छन्, तिनीहरूलाई व्यक्तिगत प्रतिबन्धहरूको साथ पूरक बनाउँछन्। केही कर्नेल अपरेसनहरू (डिबगिङ सुविधाहरू, POSIX/SysV IPC, PTYs) थप रूपमा एक बाधा संयन्त्रद्वारा सुरक्षित छन् जसले कर्नेल वस्तुहरूमा पहुँचलाई रोक्छ जुन हालको वा अभिभावक प्रक्रियाद्वारा सिर्जना गरिएको छैन।

एउटा प्रक्रियाले curtainctl लाई कल गरेर वा OpenBSD मा पाइने जस्तै libcurtain को plegde() र unveil() प्रकार्यहरू प्रयोग गरेर आफ्नै अलगाव कन्फिगर गर्न सक्छ। अनुप्रयोग चलिरहेको बेला लकहरू ट्र्याक गर्न, sysctl 'security.curtain.log_level' प्रदान गरिएको छ। पर्दा चलाउँदा "-X"/"-Y" र "-W" विकल्पहरू निर्दिष्ट गरेर X11 र Wayland प्रोटोकलहरूमा पहुँच अलग रूपमा सक्षम गरिएको छ, तर ग्राफिकल अनुप्रयोगहरूको लागि समर्थन अझै पर्याप्त रूपमा स्थिर छैन र धेरै अनसुलझे समस्याहरू छन् ( X11 प्रयोग गर्दा समस्याहरू मुख्य रूपमा देखा पर्छन्, र Wayland समर्थन धेरै राम्रो कार्यान्वयन गरिएको छ)। प्रयोगकर्ताहरूले स्थानीय नियम फाइलहरू (~/.curtain.conf) सिर्जना गरेर थप प्रतिबन्धहरू थप्न सक्छन्। उदाहरणका लागि, Firfox बाट ~/Downloads/ डाइरेक्टरीमा मात्र लेख्न अनुमति दिन, तपाईंले "~/Downloads/ : rw +" नियमको साथ "[फायरफक्स]" खण्ड थप्न सक्नुहुन्छ।

कार्यान्वयनमा अनिवार्य पहुँच नियन्त्रणको लागि mac_curtain कर्नेल मोड्युल (MAC, अनिवार्य पहुँच नियन्त्रण), आवश्यक ह्यान्डलर र फिल्टरहरूको कार्यान्वयनको साथ FreeBSD कर्नेलको लागि प्याचहरूको सेट, plegde प्रयोग गर्नका लागि libcurtain पुस्तकालय र अनुप्रयोगहरूमा कार्यहरू अनावरण, पर्दा उपयोगिता, उदाहरण कन्फिगरेसन फाइलहरू, प्रयोगकर्ता स्पेसमा केही प्रोग्रामहरूका लागि सेट परीक्षण र प्याचहरू (उदाहरणका लागि, अस्थायी फाइलहरूसँग कामलाई एकीकृत गर्न $TMPDIR प्रयोग गर्नका लागि)। जहाँ सम्भव छ, लेखकले कर्नेल र अनुप्रयोगहरूमा प्याचहरू आवश्यक पर्ने परिवर्तनहरूको संख्या कम गर्न चाहन्छ।

स्रोत: opennet.ru