För FreeBSD utvecklas en isoleringsmekanism som liknar plegde och unveil.

För FreeBSD har en implementering av ett applikationsisolationssystem föreslagits, vilket påminner om systemanropen pledge och unveil som utvecklats av OpenBSD-projektet. Isolation i pledge uppnås genom att förbjuda åtkomst till systemanrop som inte används av applikationen, medan unveil tillåter selektiv öppenhet endast för specifika filvägar som applikationen kan använda. För applikationen skapas en slags vit lista över systemanrop och filvägar, och alla andra anrop och vägar förbjuds.

Skillnaden med den utvecklade motsvarigheten till pledge och unveil för FreeBSD innebär att en ytterligare lager tillhandahålls, vilket gör det möjligt att isolera applikationer utan att göra ändringar i deras kod eller med minimala ändringar. Observera att pledge och unveil i OpenBSD syftar till att möjliggöra en nära integration med den grundläggande miljön och tillämpas genom att lägga till speciella annotationer i koden för varje applikation. För att förenkla organiseringen av skydd tillåter filtren att man undgår detaljeringsnivå på nivå av individuella systemanrop och istället kan manipulera klasser av systemanrop (in/utdata, filläsning, filskrivning, sockets, ioctl, sysctl, processstart etc.). Funktionerna för åtkomstbegränsning kan anropas i applikationskoden i takt med att olika åtgärder utförs, exempelvis kan åtkomst till sockets och filer stängas när de nödvändiga filerna har öppnats och nätverksanslutningen har etablerats.

Författaren av porten pledge och unveil för FreeBSD avser att tillhandahålla möjligheten att isolera vilka applikationer som helst, för vilket verktyget curtain har föreslagits. Detta verktyg gör det möjligt att tillämpa regler på applikationer som definierats i en separat fil. Den föreslagna konfigurationen inkluderar en fil med grundläggande inställningar, som definierar klasser av systemanrop och typiska filvägar specifika för vissa tillämpningar (arbete med ljud, nätverksinteraktion, loggning etc.), samt en fil med åtkomstregler för specifika applikationer.

Verktyget curtain kan användas för att isolera de flesta okonfigurerade verktyg, serverprocesser, grafiska applikationer och till och med hela skrivbords sessioner. Det stöder delning av curtain med isoleringsmekanismer som tillhandahålls av Jail- och Capsicum-under systemen. Det är också möjligt att organisera inre isolering, där de körda applikationerna ärver de regler som ställts in för föräldrapplikationen, kompletterat med specifika begränsningar. Vissa kärnoprättigheter (debuggingverktyg, POSIX/SysV IPC, PTYs) skyddas ytterligare med hjälp av barriärmekanismen, som förhindrar åtkomst till kärnobjekt som skapats av andra än den aktuella eller föräldraprocessen.

Processen kan själv konfigurera sin egen isolering genom att anropa curtainctl eller genom att använda funktionerna plegde() och unveil() från biblioteket libcurtain, liknande sådana funktioner från OpenBSD. För att spåra låsningar under applikationens körning finns sysctl 'security.curtain.log_level'. Åtkomst till X11- och Wayland-protokollen aktiveras separat genom att ange alternativen '-X'/'-Y' och '-W' vid start av curtain, men stödet för grafiska applikationer är fortfarande inte tillräckligt stabiliserat och har ett antal olösta problem (problem uppstår huvudsakligen vid användning av X11, medan stödet för Wayland har implementerats betydligt bättre). Användare kan lägga till ytterligare begränsningar genom att skapa lokala filer med regler (~/.curtain.conf). Till exempel, för att tillåta skrivning från Firefox endast till katalogen ~/Downloads/ kan man lägga till en sektion '[firefox]' med regeln '~/Downloads/ : rw +'.

Implementeringen inkluderar modulen mac_curtain för obligatorisk åtkomstkontroll (MAC, Mandatory Access Control), ett set av patchar för FreeBSD-kärnan med implementation av nödvändiga hanterare och filter, biblioteket libcurtain för användning av funktionerna plegde och unveil i applikationer, verktyget curtain, exempel på konfigurationsfiler, en uppsättning tester och patchar för vissa program i användarrummet (till exempel för användning av $TMPDIR för att förenkla arbetet med tillfälliga filer). Så långt som möjligt avser författaren att minimera antalet ändringar som kräver tillämpning av patchar på kärnan och applikationerna.

Källa: opennet.ru