BSD Jail: lesz vagy nem?

Kernel

Szeptember közepén volt szó itt HUP-on a Serge Hallyn-féle BSD Jail linuxos implementációjáról. Serge azóta frissítette a patchet, és elküldte a Andrew Mortonnak, kérve őt, hogy azt olvassza be a mainline kernelbe.Andrew átnézte a kódot, és azt válaszolta a szerzőnek, hogy nem emlékszik arra, hogy valaki is kért volna ilyen funkciót. Kérte Serge-t, hogy indokolja meg, hogy miért kellene beolvasztania a patchet. Emellett Mortonnak kifogása volt a szerző kódolási stílusával szemben is.

Serge azzal indokolta a beolvasztási kérelmét, hogy ezzel a patchcsel a Linux a FreeBSD jail(8) és a Solaris zonák funkcióihoz hasonló megoldáshoz juthat, ami ráadásul szerény módon van megvalósítva, és nem zavarja azokat a felhasználókat akiket nem érdekel. Felsorolta a patch előnyeit...

James Morris LSM fejlesztő szerint a patch hasznos lehet azoknak, akik FreeBSD-ről vagy Solarisról szeretnének migrálni Linuxra. Chris Wright szerint is hasznos a patch, mert jól demonstrálja az LSM bizonyos képességeit.

Andrew továbbra is kötötte az ebet a karóhoz, azt mondván, hogy még mindig nem látja, hogy miért kellene a patchnek a Linux kernel szerves részévé válnia. Szerinte a kódnak feltétlenül karbantartottnak kell lennie ahhoz, hogy a kernel részévé válhasson, viszont ehhez (ahogy korábban írta) megfelelő felhasználói bázisának kell lennie. Szerinte a patch valóban jól demonstrálja a LSM képességeit, de ez nem jelenti azt, hogy a kernel.org-on jobb helye lenne, mint mondjuk a bsdjail.sourceforge.net oldalon.

Alan Cox azt írta, hogy a javítások és kódtisztítások elvégzése után szívesen látná az anyagot a biztonsági moduljaik (gondolom a Red Hat-ra célzott) közt, mert egyszerűen implementált.

Egyelőre a döntés Andrew Morton kezében van. A KernelTrap összegyűjtötte a legfontosabb leveleket a témában.

( thuglife | 2004. 10. 10., v – 02:17 )

Es ki az a nemnormális idióta aki *BSD-ről loonixra migral?

Az a normális fejlesztő, aki nem lopással, hazugsággal vádolja a másik rendszer embereit, képes elismerni a jó ötleteket és hasznosank tartja esetleg egyes funkcióit. Egyébként ez csak annyiban könnyebség hogy emellé is fognak egy parancsot adni, ami felépíti neked a környezetet, lehet majd adminolni stb. Újdonság annyi benne, hogy a kernelben lesz, nem külön patch formájában. Gondolom ezért is szeretné a RH, ha benne lenne a kernelben. De magában nem újdonság. Volt már pár ilyen régebben is, BSD Jail születésekor. Bár a legintegráltabb valóban a BSD Jail volt. De azért volt vserver, chroot, amire rá tudtál húzni knox-ot még 2.2 kernel elején is, 2.0-hoz is voltak hasonló atchek. De nagy hátrányuk volt, hogy nem voltak integrálva, mint a freebsd-ben.

( zsolt | 2004. 10. 10., v – 13:37 )

Ezek alapján nem lenne rossz a Linux-ban:

If a proces is in a jail, it:

1. Is locked under a chroot (as are all children) which is not

vulnerable to the well-known chdir(..)(etc)chroot(.) escape.

2. Cannot mount or umount

3. Cannot send signals outside of jail

4. Cannot ptrace processes outside of jail

5. Cannot create devices

6. Cannot renice processes

7. Cannot load or unload modules

8. Cannot change network settings

9. May be assigned a specific ip address which will be used

for all it's socket binds.

10. Cannot see contents of /proc/ entries of processes not in the

same jail. (We hide their existence for convenience's sake, but

their existance can still be detected using, for instance, statfs)

11. Has no CAP_SYS_RAWIO capability (no ioperm/iopl)

12. May not share IPC resources with processes outside its own jail.

13. May find it's valid network address (if restricted) under

/proc/$$/attr/current.