🥇 लिनक्समा प्रतिज्ञा अलगाव संयन्त्र पोर्ट गर्ने परियोजना

Cosmopolitan C मानक पुस्तकालयका लेखक र Redbean प्लेटफर्मले Linux को लागि pledge() आइसोलेशन मेकानिजमको कार्यान्वयनको घोषणा गरे। प्रतिज्ञा मूल रूपमा OpenBSD परियोजना द्वारा विकसित गरिएको थियो र तपाईंलाई प्रयोग नगरिएका प्रणाली कलहरू पहुँच गर्नबाट अनुप्रयोगहरूलाई छनौट निषेध गर्न अनुमति दिन्छ (एप्लिकेशनको लागि प्रणाली कलहरूको एक प्रकारको सेतो सूची बनाइएको छ, र अन्य कलहरू निषेधित छन्)। लिनक्समा उपलब्ध syscall पहुँच नियन्त्रण संयन्त्रको विपरीत, जस्तै seccomp, प्लेज मेकानिजमलाई सम्भव भएसम्म प्रयोग गर्न सजिलो हुन ग्राउन्ड अपबाट डिजाइन गरिएको छ।

सिस्ट्रेस मेकानिजम प्रयोग गरेर OpenBSD आधार वातावरणमा अनुप्रयोगहरूलाई अलग गर्न असफल पहलले व्यक्तिगत प्रणाली कलहरूको स्तरमा अलगाव धेरै जटिल र समय खपत गर्ने देखाएको छ। एक विकल्पको रूपमा, एउटा प्रतिज्ञा प्रस्ताव गरिएको थियो, जसले विवरणहरूमा नजाइकन र तयार पहुँच कक्षाहरू हेरफेर नगरी अलगाव नियमहरू सिर्जना गर्न अनुमति दियो। उदाहरणका लागि, प्रस्ताव गरिएका कक्षाहरू stdio (इनपुट / आउटपुट), rpath (फाइलहरू मात्र पढ्ने), wpath (फाइलहरू लेख्ने), cpath (फाइलहरू सिर्जना गर्ने), tmppath (अस्थायी फाइलहरूसँग काम गर्ने), inet (नेटवर्क सकेटहरू), युनिक्स (युनिक्स) हुन्। सकेटहरू), dns (DNS रिजोल्युसन), getpw (प्रयोगकर्ता डाटाबेसमा पहुँच पढ्नुहोस्), ioctl (कल ioctl), proc (प्रक्रिया नियन्त्रण), exec (प्रारम्भ प्रक्रियाहरू), र id (अनुमति नियन्त्रण)।

प्रणाली कलहरूसँग काम गर्ने नियमहरू एनोटेसनहरूको रूपमा निर्दिष्ट गरिएको छ जसमा अनुमति दिइएको प्रणाली कल वर्गहरूको सूची र पहुँच अनुमति दिइएको फाइल मार्गहरूको एर्रे समावेश छ। परिमार्जित एप्लिकेसन निर्माण र सञ्चालन गरेपछि, कर्नेलले तोकिएका नियमहरूको पालना अनुगमन गर्ने काम लिन्छ।

अलग रूपमा, FreeBSD को लागी प्रतिज्ञा कार्यान्वयन विकास भइरहेको छ, जुन तिनीहरूको कोडमा परिवर्तन नगरी अनुप्रयोगहरूलाई अलग गर्न सक्ने क्षमताद्वारा छुट्याइएको छ, जबकि OpenBSD मा प्रतिज्ञा कल आधार वातावरणसँग कडा एकीकरण र प्रत्येकको कोडमा एनोटेशनहरू थप्ने उद्देश्य हो। आवेदन।

प्रतिज्ञाको लिनक्स पोर्टका विकासकर्ताहरूले FreeBSD उदाहरण लिए र कोडमा परिवर्तन गर्नुको सट्टा, pledge.com एड-अन उपयोगिता तयार गरे जसले तपाईंलाई एप्लिकेसन कोड परिवर्तन नगरी प्रतिबन्धहरू लागू गर्न अनुमति दिन्छ। उदाहरणका लागि, केवल stdio, rpath, inet, र threadstdio प्रणाली कल कक्षाहरूमा पहुँचको साथ कर्ल उपयोगिता चलाउन, "./pledge.com -p 'stdio rpath inet thread' curl http://example.com" चलाउनुहोस्। ।

प्रतिज्ञा उपयोगिता RHEL6 देखि सबै Linux वितरणहरूमा काम गर्दछ र रूट पहुँच आवश्यक छैन। थप रूपमा, विश्वव्यापी पुस्तकालयमा आधारित, एउटा एपीआई सी भाषामा प्रोग्रामहरूको कोडमा प्रतिबन्धहरू प्रबन्ध गर्नको लागि प्रदान गरिएको छ, जसले अन्य चीजहरूको बीचमा, निश्चित अनुप्रयोग प्रकार्यहरूको सम्बन्धमा छनौट रूपमा पहुँच प्रतिबन्धको लागि एन्क्लेभहरू सिर्जना गर्न अनुमति दिन्छ।

कार्यान्वयनलाई कर्नेलमा परिवर्तनहरू आवश्यक पर्दैन - प्रतिज्ञा प्रतिबन्धहरू SECOMP BPF नियमहरूमा अनुवाद गरिन्छ र नेटिभ लिनक्स प्रणाली कल अलगाव संयन्त्र प्रयोग गरेर प्रशोधन गरिन्छ। उदाहरणका लागि, कलिङ pledge("stdio rpath", 0) लाई BPF फिल्टर static const struct sock_filter kFilter[] = { /* L0*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, syscall, 0, 14) मा रूपान्तरण गरिनेछ। , / * L1*/ BPF_STMT(BPF_LD | BPF_W | BPF_ABS, OFF(args[1])), /* L0*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, 2, 2 - 4, 3), /* L0* BPF_JUMP( BPF_JMP | BPF_JEQ | BPF_K, 3, 10, 0 - 13), /* L4*/ BPF_STMT(BPF_LD | BPF_W | BPF_ABS, OFF(args[4])), /* L1*/ BPF_STM | BPF_STM | BPF_K, ~5x0), /* L80800*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, 6, 1 - 8, 7), /* L0*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_7, -2), /* L0*/ BPF_STMT(BPF_LD | BPF_W | BPF_ABS, OFF(args[13])), /* L8*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, 8, 2 - 9, 0), /*BP_FJ* (BPF_JMP | BPF_JEQ | BPF_K, 12, 10 - 0, 10), /*L6*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, 12, 11, 0 - 11), /*L17, 0 - 13) अनुमति दिनुहोस् ), /*L11*/ BPF_STMT(BPF_LD | BPF_W | BPF_ABS, OFF(nr)), /*L12*/ /* अर्को फिल्टर */ };

स्रोत: opennet.ru

लिनक्समा प्रतिज्ञा अलगाव संयन्त्र पोर्ट गर्ने परियोजना

एक टिप्पणी थप्न Отменить ответ