{"id":122970,"date":"2025-03-25T10:22:49","date_gmt":"2025-03-25T08:22:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-landrun-razvivaet-neprivilegirovannuyu-sistemu-izolyaczii-prilozhenij"},"modified":"2025-03-25T10:22:49","modified_gmt":"2025-03-25T08:22:49","slug":"proekt-landrun-razvivaet-neprivilegirovannuyu-sistemu-izolyaczii-prilozhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/proekt-landrun-razvivaet-neprivilegirovannuyu-sistemu-izolyaczii-prilozhenij","title":{"rendered":"Projektet Landrun utvecklar ett icke-privilegierat system f\u00f6r isolering av applikationer","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Projektet Landrun har p\u00e5b\u00f6rjat utvecklingen av ett nytt system f\u00f6r isolerat utf\u00f6rande av enskilda applikationer. F\u00f6r isolering anv\u00e4nds LSM-modulen i Linux-k\u00e4rnan Landlock, som m\u00f6jligg\u00f6r skapande av sandbox-milj\u00f6er utan att beh\u00f6va utf\u00f6ra privilegierade operationer. Landrun liknar verktyget Firejail i sina uppgifter, men skiljer sig genom en enklare implementering, l\u00e4ttviktighet och m\u00f6jligheten att anv\u00e4ndas av vanliga, icke-privilegierade anv\u00e4ndare utan att beh\u00f6va installeras med suid-flaggan. Koden f\u00f6r projektet \u00e4r skriven i Go och distribueras under GPLv2-licensen. <\/p>\n
Landlock-mekanismen till\u00e5ter icke-privilegierade program att begr\u00e4nsa anv\u00e4ndningen av objekt i Linux-k\u00e4rnan, som filhierarkier, n\u00e4tverksocketar och ioctl. Till skillnad fr\u00e5n namnrymder och filtrering av systemanrop skapas den isolerade milj\u00f6n av Linux-k\u00e4rnan som ett extra lager ovanp\u00e5 befintliga systemhanteringsmekanismer f\u00f6r \u00e5tkomst. F\u00f6r interaktion med Landlock-under-systemet anv\u00e4nds biblioteket go-landlock fr\u00e5n utvecklarna av LandLock i verktyget landrun. <\/p>\n
Landrun g\u00f6r det m\u00f6jligt att minska risken f\u00f6r kompromettering av det prim\u00e4ra systemet vid k\u00f6rning av program som inte \u00e4r betrodda eller potentiellt s\u00e5rbara. Bland funktionerna finns st\u00f6d f\u00f6r selektiv \u00e5tkomstbegr\u00e4nsning p\u00e5 niv\u00e5er av enskilda kataloger, bindning av r\u00e4ttigheter till filv\u00e4gar (till\u00e5telse eller f\u00f6rbud mot l\u00e4sning, skrivning och exekvering) och kontroll \u00f6ver initiering och mottagning av TCP-anslutningar. <\/p>\n
Till exempel, med hj\u00e4lp av Landrun-processen kan man f\u00f6rbjuda k\u00f6rning av k\u00f6rbara filer, till\u00e5ta skrivning endast till en specifik undermapp med data, f\u00f6rbjuda skapande av lyssnande sockets f\u00f6r att ta emot n\u00e4tverksanslutningar och till\u00e5ta s\u00e4ndning av n\u00e4tverksfr\u00e5gor endast till angivna TCP-portar. I det enklaste fallet kan man f\u00f6rbjuda skrivning, k\u00f6rning och n\u00e4tverksm\u00f6jligheter genom att k\u00f6ra programmet med kommandot \"landrun --ro \/\", och f\u00f6r att isolera nginx kan man anv\u00e4nda: landrun --rox \/usr\/bin --ro \/lib,\/lib64,\/var\/www --rwx \/var\/log --bind-tcp 80,443 \/usr\/bin\/nginx <\/p>\n
I framtidsplanerna n\u00e4mns ut\u00f6kat hantering av \u00e5tkomst till filsystemet, st\u00f6d f\u00f6r UDP och hantering av processresurser. F\u00f6r att begr\u00e4nsa \u00e5tkomst p\u00e5 niv\u00e5n av filsystemet kr\u00e4vs \u00e5tminstone Linux-k\u00e4rna 5.13, och f\u00f6r n\u00e4tverksbegr\u00e4nsningar \u2014 6.8. <\/p>\n