seccomp (Короче для безопасный режим вычислений) это компьютерная безопасность объект в Ядро Linux. seccomp позволяет процесс сделать односторонний переход в "безопасное" состояние, в котором он не может системные вызовы Кроме выход(), sigreturn (), читать() и записывать() уже открывать файловые дескрипторы. Если он попытается выполнить какие-либо другие системные вызовы, ядро завершит процесс с СИГКИЛЛ или SIGSYS.[1][2] В этом смысле это не виртуализировать ресурсы системы, но полностью изолирует процесс от них.
режим seccomp включается через prctl (2) системный вызов с использованием PR_SET_SECCOMP аргумент, или (начиная с ядра Linux 3.17[3]) через seccomp (2) системный вызов.[4] Режим seccomp раньше включался записью в файл, / proc / self / seccomp, но этот метод был удален в пользу prctl ().[5] В некоторых версиях ядра seccomp отключает RDTSCx86 инструкция, которая возвращает количество циклов процессора, прошедших с момента включения, используемая для высокоточного отсчета времени.[6]
seccomp-bpf является расширением seccomp[7] который позволяет фильтровать системные вызовы с помощью настраиваемой политики, реализованной с использованием Пакетный фильтр Беркли правила. Он используется OpenSSH и vsftpd а также Google Хром / Хром веб-браузеры на Chrome OS и Linux.[8] (В этом отношении seccomp-bpf обеспечивает аналогичную функциональность, но с большей гибкостью и более высокой производительностью, чем более старые Systrace - который, похоже, больше не поддерживается для Linux.)
seccomp был впервые разработан Андреа Арканджели в январе 2005 года для публичного использования. сеточные вычисления и изначально задумывался как средство безопасной работы ненадежный вычислительные программы. Он был объединен с Основная линия ядра Linux в версии ядра 2.6.12, выпущенной 8 марта 2005 года.[9]
Программное обеспечение с использованием seccomp или seccomp-bpf
QEMU, Quick Emulator, ключевой компонент современной виртуализации вместе с KVM использует seccomp для параметра - песочница[12]
Докер - программа, позволяющая запускать приложения внутри изолированных контейнеров. Docker может связать профиль seccomp с контейнером с помощью --security-opt параметр.
CPUShare от Arcangeli какое-то время был единственным известным пользователем seccomp.[13] Написав в феврале 2009 г., Линус Торвальдс выражает сомнение, действительно ли seccomp кем-либо используется.[14] Однако Google инженер ответил, что Google изучает возможность использования seccomp для песочница его Хром веб-браузер.[15][16]
Firejail это программа-песочница Linux с открытым исходным кодом, которая использует Пространства имен Linux, Seccomp и другие функции безопасности на уровне ядра для изолированной среды Linux и Вино Приложения.[17]
Начиная с версии Chrome 20, seccomp-bpf используется для песочницы. Adobe Flash Player.[18]
Начиная с версии Chrome 23, seccomp-bpf используется для изолирования рендереров.[19]
Щелчок указать форму песочницы своего приложения с помощью «интерфейсов», которые snapd преобразует в seccomp, AppArmor и другие конструкции безопасности[20]
vsftpd использует песочницу seccomp-bpf начиная с версии 3.0.0.[21]
OpenSSH поддерживает seccomp-bpf с версии 6.0.[22]
Mbox использует ptrace вместе с seccomp-bpf для создания безопасной песочницы с меньшими накладными расходами, чем только ptrace.[23]
Категория
Портал