ਲੀਨਕਸ ਲਈ ਪਲੇਜ ਆਈਸੋਲੇਸ਼ਨ ਵਿਧੀ ਨੂੰ ਪੋਰਟ ਕਰਨ ਲਈ ਪ੍ਰੋਜੈਕਟ

ਕੌਸਮੋਪੋਲੀਟਨ ਸਟੈਂਡਰਡ ਸੀ ਲਾਇਬ੍ਰੇਰੀ ਅਤੇ ਰੈੱਡਬੀਨ ਪਲੇਟਫਾਰਮ ਦੇ ਲੇਖਕ ਨੇ ਲੀਨਕਸ ਲਈ ਪਲੇਜ() ਆਈਸੋਲੇਸ਼ਨ ਵਿਧੀ ਨੂੰ ਲਾਗੂ ਕਰਨ ਦਾ ਐਲਾਨ ਕੀਤਾ ਹੈ। ਪਲੇਜ ਅਸਲ ਵਿੱਚ ਓਪਨਬੀਐਸਡੀ ਪ੍ਰੋਜੈਕਟ ਦੁਆਰਾ ਵਿਕਸਤ ਕੀਤਾ ਗਿਆ ਸੀ ਅਤੇ ਤੁਹਾਨੂੰ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਨਾ-ਵਰਤੀਆਂ ਸਿਸਟਮ ਕਾਲਾਂ ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਤੋਂ ਚੋਣਵੇਂ ਰੂਪ ਵਿੱਚ ਮਨਾਹੀ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ (ਐਪਲੀਕੇਸ਼ਨ ਲਈ ਸਿਸਟਮ ਕਾਲਾਂ ਦੀ ਇੱਕ ਕਿਸਮ ਦੀ ਸਫੈਦ ਸੂਚੀ ਬਣਾਈ ਗਈ ਹੈ, ਅਤੇ ਹੋਰ ਕਾਲਾਂ ਦੀ ਮਨਾਹੀ ਹੈ)। ਲੀਨਕਸ ਵਿੱਚ ਉਪਲਬਧ ਸਿਸਟਮ ਕਾਲ ਪਾਬੰਦੀ ਵਿਧੀ ਦੇ ਉਲਟ, ਜਿਵੇਂ ਕਿ seccomp, ਪਲੇਜ ਮਕੈਨਿਜ਼ਮ ਨੂੰ ਅਸਲ ਵਿੱਚ ਜਿੰਨਾ ਸੰਭਵ ਹੋ ਸਕੇ ਸਧਾਰਨ ਬਣਾਉਣ ਲਈ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਸੀ।

ਓਪਨਬੀਐਸਡੀ ਬੇਸ ਐਨਵਾਇਰਮੈਂਟ ਵਿੱਚ ਸਿਸਟਰੇਸ ਵਿਧੀ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਅਲੱਗ ਕਰਨ ਦੀ ਅਸਫਲ ਪਹਿਲਕਦਮੀ ਨੇ ਦਿਖਾਇਆ ਕਿ ਵਿਅਕਤੀਗਤ ਸਿਸਟਮ ਕਾਲਾਂ ਦੇ ਪੱਧਰ 'ਤੇ ਆਈਸੋਲੇਸ਼ਨ ਬਹੁਤ ਗੁੰਝਲਦਾਰ ਅਤੇ ਸਮਾਂ ਬਰਬਾਦ ਕਰਨ ਵਾਲੀ ਸੀ। ਇੱਕ ਵਿਕਲਪ ਦੇ ਤੌਰ 'ਤੇ, ਇੱਕ ਵਾਅਦਾ ਪ੍ਰਸਤਾਵਿਤ ਕੀਤਾ ਗਿਆ ਸੀ, ਜਿਸ ਨੇ ਵੇਰਵਿਆਂ ਵਿੱਚ ਜਾਣ ਅਤੇ ਤਿਆਰ-ਬਣਾਈ ਪਹੁੰਚ ਕਲਾਸਾਂ ਵਿੱਚ ਹੇਰਾਫੇਰੀ ਕੀਤੇ ਬਿਨਾਂ ਅਲੱਗ-ਥਲੱਗ ਨਿਯਮ ਬਣਾਉਣਾ ਸੰਭਵ ਬਣਾਇਆ ਸੀ। ਉਦਾਹਰਨ ਲਈ, ਪੇਸ਼ ਕੀਤੀਆਂ ਗਈਆਂ ਕਲਾਸਾਂ ਹਨ stdio (ਇਨਪੁਟ/ਆਉਟਪੁੱਟ), rpath (ਸਿਰਫ਼ ਰੀਡ-ਓਨਲੀ ਫਾਈਲਾਂ), wpath (ਫਾਇਲਾਂ ਲਿਖੋ), cpath (ਫਾਇਲਾਂ ਬਣਾਓ), tmppath (ਆਰਜ਼ੀ ਫਾਈਲਾਂ ਨਾਲ ਕੰਮ ਕਰੋ), inet (ਨੈੱਟਵਰਕ ਸਾਕਟ), ਯੂਨਿਕਸ ( unix ਸਾਕਟ), dns (DNS ਰੈਜ਼ੋਲਿਊਸ਼ਨ), getpw (ਉਪਭੋਗਤਾ ਡੇਟਾਬੇਸ ਤੱਕ ਪਹੁੰਚ ਪੜ੍ਹੋ), ioctl (ioctl ਕਾਲ), proc (ਪ੍ਰਕਿਰਿਆ ਪ੍ਰਬੰਧਨ), exec (ਪ੍ਰਕਿਰਿਆ ਲਾਂਚ) ਅਤੇ id (ਐਕਸੈਸ ਅਧਿਕਾਰ ਪ੍ਰਬੰਧਨ)।

ਸਿਸਟਮ ਕਾਲਾਂ ਨਾਲ ਕੰਮ ਕਰਨ ਲਈ ਨਿਯਮ ਐਨੋਟੇਸ਼ਨਾਂ ਦੇ ਰੂਪ ਵਿੱਚ ਨਿਰਧਾਰਤ ਕੀਤੇ ਗਏ ਹਨ, ਜਿਸ ਵਿੱਚ ਸਿਸਟਮ ਕਾਲਾਂ ਦੀਆਂ ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਸ਼੍ਰੇਣੀਆਂ ਦੀ ਸੂਚੀ ਅਤੇ ਫਾਈਲ ਮਾਰਗਾਂ ਦੀ ਇੱਕ ਲੜੀ ਸ਼ਾਮਲ ਹੈ ਜਿੱਥੇ ਪਹੁੰਚ ਦੀ ਇਜਾਜ਼ਤ ਹੈ। ਸੋਧੀ ਹੋਈ ਐਪਲੀਕੇਸ਼ਨ ਨੂੰ ਬਣਾਉਣ ਅਤੇ ਸ਼ੁਰੂ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਕਰਨਲ ਨਿਰਧਾਰਤ ਨਿਯਮਾਂ ਦੀ ਪਾਲਣਾ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨ ਦਾ ਕੰਮ ਸੰਭਾਲ ਲੈਂਦਾ ਹੈ।

ਫ੍ਰੀਬੀਐਸਡੀ ਲਈ ਵਚਨ ਦਾ ਇੱਕ ਵੱਖਰਾ ਲਾਗੂਕਰਨ ਵਿਕਸਤ ਕੀਤਾ ਜਾ ਰਿਹਾ ਹੈ, ਜੋ ਕਿ ਉਹਨਾਂ ਦੇ ਕੋਡ ਵਿੱਚ ਬਦਲਾਅ ਕੀਤੇ ਬਿਨਾਂ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਅਲੱਗ ਕਰਨ ਦੀ ਯੋਗਤਾ ਦੁਆਰਾ ਵੱਖਰਾ ਹੈ, ਜਦੋਂ ਕਿ ਓਪਨਬੀਐਸਡੀ ਵਿੱਚ ਪਲੇਜ ਕਾਲ ਦਾ ਉਦੇਸ਼ ਬੇਸ ਵਾਤਾਵਰਣ ਨਾਲ ਸਖ਼ਤ ਏਕੀਕਰਣ ਅਤੇ ਹਰੇਕ ਦੇ ਕੋਡ ਵਿੱਚ ਐਨੋਟੇਸ਼ਨ ਜੋੜਨਾ ਹੈ। ਐਪਲੀਕੇਸ਼ਨ.

ਲੀਨਕਸ ਲਈ ਪਲੇਜ ਪੋਰਟ ਦੇ ਡਿਵੈਲਪਰਾਂ ਨੇ ਫ੍ਰੀਬੀਐਸਡੀ ਦੀ ਉਦਾਹਰਨ ਲਈ ਅਤੇ, ਕੋਡ ਵਿੱਚ ਤਬਦੀਲੀਆਂ ਕਰਨ ਦੀ ਬਜਾਏ, ਇੱਕ ਐਡ-ਆਨ ਉਪਯੋਗਤਾ pledge.com ਤਿਆਰ ਕੀਤਾ ਜੋ ਤੁਹਾਨੂੰ ਐਪਲੀਕੇਸ਼ਨ ਕੋਡ ਨੂੰ ਬਦਲੇ ਬਿਨਾਂ ਪਾਬੰਦੀਆਂ ਲਾਗੂ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਸਿਰਫ਼ stdio, rpath, inet ਅਤੇ threadstdio ਸਿਸਟਮ ਕਾਲ ਕਲਾਸਾਂ ਤੱਕ ਪਹੁੰਚ ਨਾਲ curl ਉਪਯੋਗਤਾ ਨੂੰ ਚਲਾਉਣ ਲਈ, ਸਿਰਫ਼ “./pledge.com -p 'stdio rpath inet thread' curl http://example.com” ਚਲਾਓ।

ਪਲੇਜ ਯੂਟਿਲਿਟੀ RHEL6 ਨਾਲ ਸ਼ੁਰੂ ਹੋਣ ਵਾਲੀਆਂ ਸਾਰੀਆਂ ਲੀਨਕਸ ਡਿਸਟਰੀਬਿਊਸ਼ਨਾਂ 'ਤੇ ਕੰਮ ਕਰਦੀ ਹੈ ਅਤੇ ਇਸ ਲਈ ਰੂਟ ਪਹੁੰਚ ਦੀ ਲੋੜ ਨਹੀਂ ਹੁੰਦੀ ਹੈ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਬ੍ਰਹਿਮੰਡੀ ਲਾਇਬ੍ਰੇਰੀ ਦੇ ਅਧਾਰ 'ਤੇ, C ਭਾਸ਼ਾ ਵਿੱਚ ਪ੍ਰੋਗਰਾਮ ਕੋਡ ਵਿੱਚ ਪਾਬੰਦੀਆਂ ਦੇ ਪ੍ਰਬੰਧਨ ਲਈ ਇੱਕ API ਪ੍ਰਦਾਨ ਕੀਤਾ ਗਿਆ ਹੈ, ਜੋ ਕਿ ਹੋਰ ਚੀਜ਼ਾਂ ਦੇ ਨਾਲ, ਕੁਝ ਐਪਲੀਕੇਸ਼ਨ ਫੰਕਸ਼ਨਾਂ ਦੇ ਸਬੰਧ ਵਿੱਚ ਚੋਣਵੇਂ ਤੌਰ 'ਤੇ ਪਹੁੰਚ ਨੂੰ ਸੀਮਤ ਕਰਨ ਲਈ ਐਨਕਲੇਵ ਬਣਾਉਣ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ।

ਲਾਗੂ ਕਰਨ ਲਈ ਕਰਨਲ ਵਿੱਚ ਤਬਦੀਲੀਆਂ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ - ਵਚਨਬੱਧ ਪਾਬੰਦੀਆਂ ਨੂੰ SECOMP BPF ਨਿਯਮਾਂ ਵਿੱਚ ਅਨੁਵਾਦ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ ਨੇਟਿਵ ਲੀਨਕਸ ਸਿਸਟਮ ਕਾਲ ਆਈਸੋਲੇਸ਼ਨ ਵਿਧੀ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਪ੍ਰਕਿਰਿਆ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਕਾਲ ਪਲੇਜ("stdio rpath", 0) ਨੂੰ ਇੱਕ BPF ਫਿਲਟਰ ਸਟੈਟਿਕ ਕੰਸਟ ਸਟ੍ਰਕਟ sock_filter kFilter [] = { /* L0*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, syscall, 0, 14 - ਵਿੱਚ ਬਦਲਿਆ ਜਾਵੇਗਾ ), / * L1*/ BPF_STMT(BPF_LD | BPF_W | BPF_ABS, OFF(args[1])), /* L0*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, 2, 2 - 4, 3), /* L0* / BPF_JUMP( BPF_JMP | BPF_JEQ | BPF_K, 3, 10, 0 - 13), /* L4*/ BPF_STMT(BPF_LD | BPF_W | BPF_ABS, OFF(args[4])), /* L1*/ BPF_ALMT | | BPF_K, ~5x0), /* L80800*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, 6, 1 - 8, 7), /* L0*/ BPF_JUMP(BPF_JMP | BPF_JEQ, BPF_7, -2) , /* L0*/ BPF_STMT(BPF_LD | BPF_W | BPF_ABS, OFF(args[13])), /* L8*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, 8, 2 - 9, 0), /*L12 BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, 10, 0 - 10, 6), /*L12*/ BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, 11, 0, 11 - 17) SECCOMP_RET_ALLOW), /*L0*/ BPF_STMT(BPF_LD | BPF_W | BPF_ABS, OFF(nr)), /*L13*/ /* ਅਗਲਾ ਫਿਲਟਰ */ };

ਸਰੋਤ: opennet.ru