{"id":122970,"date":"2025-03-25T10:22:49","date_gmt":"2025-03-25T08:22:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-landrun-razvivaet-neprivilegirovannuyu-sistemu-izolyaczii-prilozhenij"},"modified":"2025-03-25T10:22:49","modified_gmt":"2025-03-25T08:22:49","slug":"proekt-landrun-razvivaet-neprivilegirovannuyu-sistemu-izolyaczii-prilozhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/proekt-landrun-razvivaet-neprivilegirovannuyu-sistemu-izolyaczii-prilozhenij","title":{"rendered":"Het Landrun-project ontwikkelt een niet-bevoorrechte applicatie-isolatiesysteem","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Het Landrun-project is begonnen met de ontwikkeling van een nieuw systeem voor het ge\u00efsoleerd uitvoeren van afzonderlijke applicaties. Voor isolatie wordt de LSM-module van de Linux-kernel Landlock gebruikt, die het mogelijk maakt om zonder het uitvoeren van geprivilegieerde operaties een sandbox-omgeving te cre\u00ebren. Wat betreft de functionaliteit lijkt Landrun op de utility Firejail, maar het onderscheidt zich door een eenvoudigere implementatie, lichtgewicht ontwerp en de mogelijkheid om te werken onder een reguliere, niet-geprivilegieerde gebruiker zonder met de suid-vlag te werken. De code van het project is geschreven in de programmeertaal Go en wordt verspreid onder de GPLv2-licentie. <\/p>\n
De Landlock-mechanismen stellen niet-geprivilegieerde programma's in staat het gebruik van objecten in de Linux-kernel te beperken, zoals bestandsstructuren, netwerk-sockets en ioctl. In tegenstelling tot naamruimten en systeemoproepfilters wordt de ge\u00efsoleerde omgeving door de Linux-kernel gevormd in de vorm van een extra laag bovenop de bestaande systeme beheermechanismen voor toegang. Voor interactie met de Landlock-subsysteem wordt in de utility landrun de go-landlock bibliotheek van de ontwikkelaars van LandLock gebruikt. <\/p>\n
Landrun maakt het mogelijk om het risico op compromittering van het hoofd systeem te verlagen bij het uitvoeren van niet-vertrouwde of potentieel kwetsbare programma's. Tot de mogelijkheden behoort het ondersteunen van selectieve toegangsbeperkingen op niveau van afzonderlijke mappen, het binden van bevoegdheden aan bestands paden (toestaan of verbieden van lezen, schrijven en uitvoeren) en controle over het initi\u00ebren en ontvangen van TCP-verbindingen. <\/p>\n
Bijvoorbeeld, met Landrun kan het proces worden verboden om uitvoerbare bestanden te starten, kan het schrijven alleen in een specifieke submap met gegevens worden toegestaan, kan het maken van luisterende sockets voor het ontvangen van netwerkverbindingen worden verboden en kan het verzenden van netwerkverzoeken alleen op aangegeven TCP-poorten worden toegestaan. In de eenvoudigste gevallen kan de opdracht om schrijven, starten en netwerkfunctionaliteiten te verbieden worden uitgevoerd met de commandoregel 'landrun -ro \/', en voor de isolatie van nginx kan het volgende worden gebruikt: landrun -rox \/usr\/bin -ro \/lib,\/lib64,\/var\/www -rwx \/var\/log -bind-tcp 80,443 \/usr\/bin\/nginx <\/p>\n
In de toekomstplannen wordt uitgebreide toegang tot het bestandssysteem vermeld, evenals ondersteuning voor UDP en het beheer van procesbronnen. Voor toegangslimieten op bestandssysteemniveau is minimaal Linux-kernel 5.13 vereist, en voor netwerkbeperkingen is 6.8 nodig. <\/p>\n