Projektet Landrun utvecklar ett icke-privilegierat system för isolering av applikationer

Projektet Landrun har påbörjat utvecklingen av ett nytt system för isolerat utförande av enskilda applikationer. För isolering används LSM-modulen i Linux-kärnan Landlock, som möjliggör skapande av sandbox-miljöer utan att behöva utföra privilegierade operationer. Landrun liknar verktyget Firejail i sina uppgifter, men skiljer sig genom en enklare implementering, lättviktighet och möjligheten att användas av vanliga, icke-privilegierade användare utan att behöva installeras med suid-flaggan. Koden för projektet är skriven i Go och distribueras under GPLv2-licensen.

Landlock-mekanismen tillåter icke-privilegierade program att begränsa användningen av objekt i Linux-kärnan, som filhierarkier, nätverksocketar och ioctl. Till skillnad från namnrymder och filtrering av systemanrop skapas den isolerade miljön av Linux-kärnan som ett extra lager ovanpå befintliga systemhanteringsmekanismer för åtkomst. För interaktion med Landlock-under-systemet används biblioteket go-landlock från utvecklarna av LandLock i verktyget landrun.

Landrun gör det möjligt att minska risken för kompromettering av det primära systemet vid körning av program som inte är betrodda eller potentiellt sårbara. Bland funktionerna finns stöd för selektiv åtkomstbegränsning på nivåer av enskilda kataloger, bindning av rättigheter till filvägar (tillåtelse eller förbud mot läsning, skrivning och exekvering) och kontroll över initiering och mottagning av TCP-anslutningar.

Till exempel kan man med hjälp av Landrun förbjuda en process att köra exekverbara filer, tillåta skrivning endast i en specifik underkatalog med data, förbjuda skapande av lyssnande socketar för att ta emot nätverksanslutningar och tillåta sändning av nätverksförfrågningar endast till angivna TCP-portar. I det enklaste fallet kan man förbjuda skrivning, körning och nätverksfunktioner genom att köra programmet med kommandot "landrun —ro \/", och för isolering av nginx kan man använda: landrun —rox \/usr\/bin —ro \/lib,\lib64,\/var\/www —rwx \/var\/log —bind-tcp 80,443 \/usr\/bin\/nginx.

I framtidsplanerna nämns utvidgad åtkomstkontroll för filsystemet, stöd för UDP och processresurshantering. För att begränsa åtkomst på filsystemnivå krävs minst Linux-kärna 5.13, och för nätverksbegränsningar — 6.8.

Det bör också noteras att ändringar har gjorts i Firejail-kodbasen som möjliggör användning av Landlock-kärnunderystemet för isolering utan suid-bit och höjda privilegier, men en version med detta stöd har ännu inte publicerats.

Källa: opennet.ru