Механизам изолације сличан плегде и унвеил се развија за ФрееБСД

За ФрееБСД је предложена имплементација механизма за изолацију апликација, који подсећа на системске позиве плегде и унвеил које је развио ОпенБСД пројекат. Изолација у плегде-у се постиже забраном приступа системским позивима који се не користе у апликацији, а у откривању селективним отварањем приступа само појединачним путањама датотека са којима апликација може да ради. За апликацију се формира нека врста беле листе системских позива и путања датотека, а сви остали позиви и путање су забрањени.

Разлика између аналога плегде и унвеил-а који се развија за ФрееБСД своди се на обезбеђивање додатног слоја који вам омогућава да изолујете апликације без мењања њиховог кода или уз минималне промене. Подсетимо се да у ОпенБСД-у плегде и унвеил имају за циљ чврсту интеграцију са основним окружењем и користе се додавањем посебних напомена у код сваке апликације. Да бисте поједноставили организацију заштите, филтери вам омогућавају да радите без детаља на нивоу појединачних системских позива и манипулишете класама системских позива (улаз/излаз, читање датотека, писање датотека, сокети, иоцтл, сисцтл, покретање процеса итд.) . Функције ограничења приступа могу се позвати у коду апликације када се извршавају одређене радње, на пример, приступ утичницама и датотекама може бити одбијен након отварања потребних датотека и успостављања мрежне везе.

Аутор порта плегде и унвеил за ФрееБСД намерава да обезбеди могућност изоловања произвољних апликација, за које је предложен услужни програм завесе, који вам омогућава да примените правила дефинисана у посебном фајлу на апликације. Предложена конфигурација укључује датотеку са основним подешавањима која дефинишу класе системских позива и типичне путање датотека специфичних за одређене апликације (рад са звуком, мрежна интеракција, евидентирање итд.), као и датотеку са правилима приступа за одређене апликације.

Услужни програм завесе се може користити за изоловање већине неизмењених услужних програма, серверских процеса, графичких апликација, па чак и читавих десктоп сесија. Завеса се може користити заједно са изолационим механизмима које обезбеђују Јаил и Цапсицум подсистеми. Такође је могуће организовати угнежђену изолацију, када покренуте апликације наслеђују правила постављена за надређену апликацију, допуњујући их појединачним ограничењима. Неке операције кернела (могућности за отклањање грешака, ПОСИКС/СисВ ИПЦ, ПТИ) су додатно заштићене механизмом баријере који спречава приступ објектима кернела који нису креирани тренутним или надређеним процесом.

Процес може да конфигурише сопствену изолацију позивањем цуртаинцтл или коришћењем плегде() и унвеил() функција либцуртаина, слично онима које се налазе у ОпенБСД-у. За праћење закључавања док је апликација покренута, обезбеђен је сисцтл „сецурити.цуртаин.лог_левел“. Приступ Кс11 и Ваиланд протоколима је омогућен одвојено навођењем опција “-Кс”/”-И” и “-В” када се покреће завеса, али подршка за графичке апликације још увек није довољно стабилизована и има низ нерешених проблема ( проблеми се углавном јављају када се користи Кс11, а подршка за Ваиланд је много боље имплементирана). Корисници могу да додају додатна ограничења креирањем датотека са локалним правилима (~/.цуртаин.цонф). На пример, да бисте дозволили писање са Фирфок-а само у директоријум ~/Довнлоадс/, можете додати одељак „[фирефок]“ са правилом „~/Довнлоадс/ : рв +“.

Имплементација укључује модул кернела мац_цуртаин за обавезну контролу приступа (МАЦ, Мандатори Аццесс Цонтрол), сет закрпа за ФрееБСД кернел са имплементацијом потребних руковалаца и филтера, либцуртаин библиотеку за коришћење функција плегде и унвеил у апликацијама, услужни програм завесе, примери конфигурационих датотека, скуп тестова и закрпа за неке програме у корисничком простору (на пример, за коришћење $ТМПДИР за обједињавање рада са привременим датотекама). Где је то могуће, аутор намерава да минимизира број промена које захтевају закрпе на кернелу и апликацијама.

Извор: опеннет.ру