Linux üzerinde güvenilmeyen uygulamayı çalıştıran Biz bir cihaz Linux çalıştıran var ve biz bu konuda güvenilmeyen uygulamaları çalıştırmak gerekir. kum havuzunda
- - Biz aşağıdaki güvenlik kaygıları ortadan kaldırmak için çalışıyoruz
- güvenilir olmayan bir uygulama fazla işlemci, bellek ve disk tüketir mümkün ve çekirdek OS durum veya güvenilir olmayan bir uygulama bekleme diğer uygulamalar
gibi bir DoS/kaynak açlık neden olmamalıdır Bir test ortamı olarak kullanılması SELinux'u - 1
Yaklaşım - nokta, sadece okumak ve kendi dizin ve Biz aşağıdaki yaklaşımlardan birini kullanarak düşünüyorsun
belki monte USB sürücüye yazabilmek gerekiyor
- Bu mümkün mü? Ben biraz SELinux okudum ve bir politika dosyası oluşturma ve çalışma zamanında zorlama açısından biraz karmaşık görünüyor. SELinux bunu yapabilir ve güvenilmeyen uygulamayı sadece kendi dizinini okumak/yazmak için kısıtlayabilir ve kota sınırlarını ayarlamak
Yaklaşım 2 -
- tüm uygulama Damga her güvenilmeyen uygulama için yeni bir uygulama kullanıcı oluşturun zaman bizim kendi
yeni sandbox oluşturma sırasında yüklemek izinli dizin ve dosyalar, böylece sadece uygulama kullanıcısı
okuyabilir ve yazabilir çalışma süresi sırasında ulimit kullanarak uygulama kullanıcı için
- Seti kotaları/kota
,
- Tüm açık dosya tanımlayıcıları/root ayarlamak için
- Kullanım chroot'u kolları kullanarak güvenilmeyen uygulamayı başlatmak Uygulama dizini uygulama dizisine uygulama
Yukarıda üzerinde
Düşünceler? Hangi yaklaşım diğerinden daha güvenli? Daha iyi çalışabilecek başka bir yaklaşım var mı? Android'i bazı nedenlerden dolayı taşımak için bir seçeneğimiz yok, dolayısıyla Android'in doğal olarak sağladığı korumalı alan özelliklerini kullanamıyoruz ...
beni SELinux'un kullanıcı hakları daha da karmaşık olarak biraz benzer uygular olan kurallar bütünüdür
Seçiminiz 2 aslında Android'in kum havuzu özellikleri (chroot hariç) gibi bir çok kulağa hoş geliyor. Çekirdek kullanıcı güvenlik modelinin bozulma derecesini koruyanlar ... –
@ chris-stratton - Android nedir Approach-2'mizi bulmak için referans olarak kullandık. Maalesef, bu noktada Android'e kendimizi taşıyamıyoruz. Bu nedenle Android kum havuzunu kutudan çıkarma seçeneğine sahip değilsiniz ... – user967973
Linux'un ad alanı ve gruplarını nasıl kullanıyorsunuz? Dürüst olmak gerekirse, ben çok aşina değilim, ama alçakgönüllü bilgime göre, bir sürecin kaynaklarını sadece sizin belirlediğiniz şeye ayırabilirsiniz. Diğer bir deyişle, Docker gibi kendi konteynerizasyon sisteminizi yaratıyorsunuz. Her işlem/uygulama sadece kendisine neyin atandığını görmek ve tüketmekle sınırlıdır. –