The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

isolate - Utility for isolating Unix processes, minimizing their privilege

Дата
17 Jan 2010
Заголовокisolate - Utility for isolating Unix processes, minimizing their privilege
ПояснениеУтилита, предназначенная для организации изолированного выполнения приложений с минимальными привилегиями и ограниченным доступом к X-серверу. Идея по созданию isolate возникла после того, как автор проекта столкнулся с уязвимостью в медиа-плеере, позволяющей выполнить код после открытия специально оформленного MP3-файла. Задача isolate - обеспечить возможность защиты системы при выполнении неблагонадежных программ или при обработке полученного из недоверительных источников контента.

В отличие от похожих по возможностям аналогов, например, завязанной на SELinux утилиты sandbox, isolate является многоплатформенным приложением, одинаково хорошо работающим как в Linux, так и во FreeBSD. Для обеспечения изоляции в isolate использован метод динамического формирования chroot-окружения, предложенный Daniel J. Bernstein в главе 5.2 документа "Размышления о безопасности через 10 лет после выхода qmail 1.0".

Перед запуском процесса, isolate анализирует список задействованных для работы подконтрольной программы библиотек, программ и файлов, после чего автоматически формируется chroot-окружение. Пользователь имеет возможность вручную указать дополнительные директории для помещения в создаваемый chroot, ограничить доступный объем памяти, максимальное число открытых файлов и запущенных процессов, что позволяет, например, быстро сформировать окружение для запуска подозрительного shell скрипта. Процесс под управлением isolate выполняется под идентификатором несуществующего в системе пользователя.

Home URLhttp://code.google.com/p/isolate/
Флагenglish
РазделChroot окружение
Ключи



 Добавить ссылку
 
 Поиск ссылки (regex):
 

Последние заметки
- 09.09 Включение DNS-over-HTTPS в Chrome
- 01.09 Улучшение безопасности sources.list в дистрибутивах, использующих APT
- 28.08 Сравнение работающих в пространстве пользователя обработчиков нехватки памяти
- 27.08 Изменение скорости движения указателя мыши через xinput
- 23.08 Установка Anbox для запуска Android-приложений в Fedora 30
- 02.07 Прокси сервер Squid c E2guardian и Clamav
- 07.05 Монтирование корневой ФС в RO-режиме при загрузке в свежих версиях Fedora
- 12.04 Обход проблем при расширении хранилища ZFS в Linux
- 03.04 Объединение томов через aufs для отказоустойчивости и моментального восстановления
- 31.03 vmhgfs в старых CentOS и RHEL
RSS | Следующие 15 записей >>




Спонсоры:
Слёрм
Inferno Solutions
Hosting by Ihor
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2019 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру