Landlock LSM: Eine sichere Anwendungs-Isolation im Linux-Kernel

Einleitung

Sandboxing ist nicht nur für Windows

Für viele Jahre gab es das Gefühl, dass Sandboxing erstmal nur für die Windows-Welt gedacht war. Doch wenn man als Linux-User darauf achtet, weiß man, dass es auch in der Linux-Welt Sandboxing gibt. Doch wie geht das? Ziemlich einfach, denn Landlock!

Landlock ist ein Linux-Security Module (LSM) das es ermöglicht, Anwendungen direkt im Kernel zu sandboxen und so ihre Handlungsspielräume stark zu einschränken. Allerdings funktioniert nicht so einfach wie viele es gerne glauben möchten - also schnell die Regeln aus dem Internet geklaut und dann loslassen. Nein, dazu ist ein bisschen mehr erforderlich.

Wie funktioniert Landlock?

Landlock ist kein isoliertes Tool, sondern vielmehr ein Teil des Linux-Kernels. Es arbeitet eng mit anderen Komponenten wie SELinux oder AppArmor zusammen. Dadurch kann Landlock komplexe Regeln erstellen, die es ermöglichen, Anwendungen nur bestimmte Berechtigungen in bestimmten Bereichen zu geben. Das bedeutet, dass eine Anwendung beispielsweise nur die Berechtigung hat, Dateien im eigenen Verzeichnis anzulegen und zu lesen, aber nicht, um beliebige Dateien im System anzulegen oder zu lesen.

Hier ist ein Beispiel, wie man einen Prozeß mit Landlock einschränken kann:

echo '0: /bin/ls:*:*':rli /bin/ls
semanage port -A -t landlock -p tcp -t 8080
semanage port -a -t landlock -p tcp 8081

Dieser Prozeß bietet nur die Möglichkeit, die Port 8080 offen auf dem Linux-System zu haben und kann beliebige HTTP-Anfragen auf Port 8081 in den Logs nachverfolgen und die Port wird über die Firewall geöffnet. Achten Sie darauf, dass Sie diese Zeilen nur auf einem Server ausführen, der auch entsprechende Sicherheitsregeln nach den Prinzipien von least privilege ausführt.

Warum ist Landlock so wichtig?

Landlock ist wichtig, weil es die Handlungsspielräume von Anwendungen stark einschränken kann, ohne dass es den Benutzern von vorneherein sehr einschränkend wirkt. Der Benutzer stellt immer noch sicher, dass man die Anwendung starten und die Aufgaben, die die Anwendung ausführen darf ist immer noch dabei. Es kann eine Art