एमआईटी पाठ्यक्रम "कंप्यूटर सिस्टम सुरक्षा"। व्याख्यान 6: अवसर, भाग 2

मैसाचुसेट्स इंस्टीट्यूट ऑफ टेक्नोलॉजी। व्याख्यान पाठ्यक्रम # 6.858। "कंप्यूटर सिस्टम की सुरक्षा।" निकोलाई ज़ेल्डोविच, जेम्स मिकेंस। 2014 साल

कंप्यूटर सिस्टम सुरक्षा सुरक्षित कंप्यूटर सिस्टम के विकास और कार्यान्वयन पर एक कोर्स है। व्याख्यान खतरे के मॉडल को कवर करते हैं, हमले जो सुरक्षा से समझौता करते हैं, और हाल के वैज्ञानिक कार्यों के आधार पर सुरक्षा तकनीक। विषयों में ऑपरेटिंग सिस्टम (OS) सुरक्षा, सुविधाएँ, सूचना प्रवाह प्रबंधन, भाषा सुरक्षा, नेटवर्क प्रोटोकॉल, हार्डवेयर सुरक्षा और वेब अनुप्रयोग सुरक्षा शामिल हैं।

व्याख्यान 1: "परिचय: खतरे के मॉडल" भाग 1 / भाग 2 / भाग 3
व्याख्यान 2: "हैकर हमलों का नियंत्रण" भाग 1 / भाग 2 / भाग 3
व्याख्यान 3: "बफर ओवरफ्लो: शोषण और संरक्षण" भाग 1 / भाग 2 / भाग 3
व्याख्यान 4: "पृथक्करण का पृथक्करण" भाग 1 / भाग 2 / भाग 3
व्याख्यान 5: "सुरक्षा प्रणालियाँ कहाँ से आती हैं?" भाग 1 / भाग 2
व्याख्यान 6: "अवसर" भाग 1 / भाग 2 / भाग 3

श्रोता: क्या हम यह निष्कर्ष निकाल सकते हैं कि प्रत्येक अवसर की एक प्रक्रिया होती है?

प्रोफेसर: मुझे इसमें शक है। आप जितनी चाहें उतनी प्रक्रियाएं कर सकते हैं, एक संभावना के लिए कई प्रक्रियाएं मौजूद हो सकती हैं। सीधे शब्दों में कहें, तो आपको प्रत्येक अवसर के लिए एक अलग प्रक्रिया की आवश्यकता नहीं है। क्योंकि एक फोर्ट 1 प्रक्रिया है जो कई फाइलों को खोल सकती है और किले के विशेषाधिकार प्राप्त घटक को कई क्षमताओं को पारित कर सकती है।



कारण आपको लगता है कि आपको प्रत्येक अवसर के लिए एक अलग प्रक्रिया की आवश्यकता है जो हम क्षमताओं और बाहरी विशेषाधिकारों के बीच इस अजीब बातचीत से संबंधित हैं।

क्योंकि Fort1 में एक बाहरी विशेषाधिकार है। और हम जो कर रहे हैं वह मूल रूप से इस बाहरी विशेषाधिकार को इस Fort1 प्रक्रिया में क्षमता में बदल रहा है। इसलिए यदि आपके पास कई अलग-अलग प्रकार के बाहरी विशेषाधिकार या कई अलग-अलग विशेषाधिकार हैं जिन्हें आप सावधानी के साथ उपयोग करना चाहते हैं, तो आप संभवतः एक अलग प्रक्रिया चाहते हैं जिसमें यह विशेषाधिकार है। और जब भी आप विशेषाधिकारों के एक विशिष्ट सेट का उपयोग करना चाहते हैं, तो आप पृथक्करण करने के लिए उचित प्रक्रिया पूछेंगे, और यदि यह सफल होता है, तो आप इस प्रक्रिया को आपके पास क्षमता वापस करने के लिए कहेंगे।

वास्तव में, ऑपरेटिंग सिस्टम का ऐसा डिज़ाइन था जो पूरी तरह से क्षमताओं पर आधारित था और जिसमें कोई बाहरी विशेषाधिकार नहीं था। और यह शांत है, लेकिन एक वास्तविक प्रणाली में उपयोग के लिए बहुत व्यावहारिक नहीं है। यह पता चलता है कि वास्तव में आप किसी वस्तु को नाम देने और किसी वस्तु को इस वस्तु के अधिकारों को बिना असफल हुए स्थानांतरित करने के अवसरों के रूप में इतने बाहरी विशेषाधिकार नहीं चाहते हैं।

शायद मुझे नहीं पता कि कुछ सामान्य दस्तावेज के संबंध में आपके पास क्या विशेषाधिकार हो सकते हैं, लेकिन मैं आपको सूचित करना चाहता हूं कि हमारे पास यह सामान्य दस्तावेज है। यदि आप इसे पढ़ सकते हैं, तो इसे पढ़ें। यदि आप इसे इसमें लिखते हैं, तो ठीक है, लिखें। लेकिन मैं इसका कोई अधिकार हस्तांतरित नहीं करना चाहता। मैं आपको केवल यह बताना चाहता हूं: "अरे, यह बात, कोशिश करो!" इसलिए यह अवसरों की दुनिया में एक असुविधा है, क्योंकि यह वास्तव में आपको इस वस्तु के अधिकारों को स्थानांतरित किए बिना वस्तुओं के बारे में बात करने के लिए मजबूर नहीं करता है।

इसलिए, इस बारे में जानना और सिस्टम के कुछ हिस्सों में इस सुविधा का उपयोग करना महत्वपूर्ण है, लेकिन सिस्टम की सुरक्षा के समाधान के लिए इस पर निर्भर नहीं होना चाहिए।



श्रोता: मान लीजिए कि इस प्रक्रिया में किसी अन्य प्रक्रिया द्वारा दी गई क्षमताएं हैं, लेकिन यह पता चला है कि इसमें पहले से ही किसी वस्तु के संबंध में महान क्षमताएं हैं। क्या एक प्रक्रिया उनकी तुलना यह सुनिश्चित करने के लिए कर सकती है कि वे एक ही वस्तु को छू रहे हैं? या वह बड़े अवसरों का उपयोग करेगा?

प्रोफेसर: तथ्य यह है कि प्रक्रिया एक निहित तरीके से क्षमताओं का उपयोग नहीं करती है, इसलिए यह क्षमताओं का एक बहुत ही उपयोगी गुण है। आपको निश्चित रूप से इंगित करना चाहिए कि आप किन विकल्पों का उपयोग कर रहे हैं। तो एक फाइल डिस्क्रिप्टर के संदर्भ में इसके बारे में सोचें। मान लीजिए कि मैं आपको कुछ फ़ाइल के लिए एक ओपन फाइल डिस्क्रिप्टर देता हूं, और यह केवल पढ़ने के लिए है। फिर कोई अन्य आपको अन्य फ़ाइलों के लिए एक और अवसर देता है, जिसमें यह फ़ाइल शामिल हो सकती है। और एक नई सुविधा आपको फ़ाइलों को पढ़ने और लिखने की अनुमति देती है।

इस मामले में, यदि आप पहली फ़ाइल को लिखने की कोशिश करते हैं, तो आप निस्संदेह सफल होंगे, क्योंकि इसके लिए एक अतिरिक्त फ़ाइल विवरणक खोला जाएगा, जिससे न केवल पढ़ने की अनुमति मिलती है, बल्कि लेखन भी। इसलिए यह एक प्रकार की शांत चीज है जब आपको अतिरिक्त बाहरी विशेषाधिकारों की आवश्यकता नहीं होती है। आपके पास बस ये सभी संभावनाएं हैं, क्योंकि लोगों ने वास्तव में इस तरह के पुस्तकालयों का निर्माण किया है और, सिद्धांत रूप में, वे आपके लिए अपनी क्षमताओं का प्रबंधन करते हैं। वे उन्हें इकट्ठा करते हैं। और जब वे एक ऑपरेशन करने की कोशिश करते हैं, तो वे अवसरों की तलाश करते हैं और उन लोगों को ढूंढते हैं जो इसे काम करते हैं।

यह आपको उस परिवेश के अधिकार के बाहरी नियंत्रण में लौटाता है जिससे आप बचने की कोशिश कर रहे थे। संभावनाओं की एक सकारात्मक विशेषता यह है कि यह एक सॉफ्टवेयर डिजाइन है जो आपके जीवन को सरल बनाता है। यह सुरक्षा समाधानों में असामान्य है। यह गुण आपके लिए कोड लिखना आसान बनाता है जो उन विशेषाधिकारों की ओर इशारा करता है जिन्हें आप सुरक्षा के दृष्टिकोण से उपयोग करना चाहते हैं। और यह कोड लिखना बहुत आसान है।
हालांकि, क्षमता अन्य समस्याओं को हल कर सकती है। इसलिए, विशेषाधिकार प्रबंधन समस्याएं अक्सर उत्पन्न होती हैं जब आपको कुछ अविश्वास कोड को निष्पादित करने की आवश्यकता होती है। क्योंकि आप वास्तव में नियंत्रित करना चाहते हैं कि आप क्या विशेषाधिकार देते हैं, क्योंकि अन्यथा आपके द्वारा प्रदान किए गए किसी भी विशेषाधिकार के दुरुपयोग का खतरा है। और यह देखने का एक अलग बिंदु है, जहां से शिमला मिर्च के लेख के लेखक अवसरों को देखते हैं। वे, बेशक, बाहरी प्राधिकरण की समस्या से अवगत हैं, लेकिन यह थोड़ी अलग समस्या है जिसे आप हल कर सकते हैं या नहीं कर सकते। लेकिन मूल रूप से वे परवाह करते हैं कि उनके पास वास्तव में बड़ा विशेषाधिकार प्राप्त आवेदन है, और उन्हें चिंता है कि इस आवेदन के स्रोत कोड के विभिन्न भागों में त्रुटियां होंगी। इसलिए, वे इस एप्लिकेशन के विभिन्न घटकों के विशेषाधिकारों को कम करना चाहते हैं।

इस अर्थ में, कहानी OKWS के समान है। तो, आपके पास एक बड़ा अनुप्रयोग है, आप इसे घटकों में तोड़ते हैं और प्रत्येक घटक के लिए विशेषाधिकारों को प्रतिबंधित करते हैं। यह निश्चित रूप से OKWS में समझ में आता है । क्या अन्य स्थितियाँ हैं जहाँ आप विशेषाधिकारों को साझा करने के बारे में चिंतित हो सकते हैं? मुझे लगता है कि अपने लेख में वे उदाहरणों का वर्णन करते हैं जिन्हें मुझे निष्पादित करने की कोशिश करनी चाहिए, उदाहरण के लिए, tcpdump और अन्य अनुप्रयोग जो नेटवर्क डेटा का विश्लेषण करते हैं। वे नेटवर्क इनपुट का विश्लेषण करने वाले अनुप्रयोगों के बारे में इतने चिंतित क्यों हैं? Tcpdump में क्या होता है? उनके व्यामोह का कारण क्या है?

श्रोता: एक हमलावर नियंत्रित कर सकता है कि क्या भेजा गया है और जिसे निष्पादित करने के लिए कहा जाता है, उदाहरण के लिए, पैकेट।

प्रोफेसर: हाँ, वे वास्तव में इस तरह के हमलों के बारे में परवाह करते हैं और इस बारे में कि क्या हमलावर वास्तव में इनपुट डेटा को नियंत्रित कर सकता है? क्योंकि यह काफी समस्याग्रस्त है यदि आप सी कोड लिखते हैं जो डेटा संरचनाओं को संभालना चाहिए। जाहिर है, आप स्मृति को आवंटित करने वाले सरणियों के लिए बाइट्स की नकल करके पॉइंटर्स का बहुत हेरफेर कर रहे होंगे। इसी समय, स्मृति प्रबंधन के साथ गलती करना आसान है, जो बल्कि विनाशकारी परिणाम देगा।

यही कारण है कि उन्होंने सैंडबॉक्स में अपने नेटवर्क प्रोटोकॉल और अन्य चीजों के काम को करने का फैसला किया।



वास्तविक दुनिया का एक और उदाहरण जहां विशेषाधिकार साझा करने की आवश्यकता है, वह है आपका ब्राउज़र। आप शायद अपने फ्लैश प्लगइन, या अपने जावा एक्सटेंशन, या कुछ और को अलग करना चाहेंगे। क्योंकि वे हमलों के लिए एक व्यापक क्षेत्र का प्रतिनिधित्व करते हैं जो काफी आक्रामक तरीके से उपयोग किए जाते हैं।

तो यह एक स्मार्ट योजना की तरह लगता है। उदाहरण के लिए, यदि आप कुछ सॉफ्टवेयर लिखते हैं, तो आप सैंडबॉक्स में इसके घटकों के व्यवहार की जांच करना चाहते हैं। आम तौर पर, यह इंटरनेट से डाउनलोड की गई चीज़ों को संदर्भित करता है और कम विशेषाधिकार के साथ चलाने का इरादा रखता है। क्या शिमला मिर्च द्वारा दी गई आइसोलेशन स्टाइल इस पर सूट करती है ? मैं इंटरनेट से कुछ यादृच्छिक स्क्रीनसेवर या कुछ गेम डाउनलोड कर सकता था। और मैं उन्हें अपने कंप्यूटर पर चलाना चाहता हूं, लेकिन पहले यह सुनिश्चित कर लें कि वे मेरे पास मौजूद हर चीज को बर्बाद न करें। क्या आप इसके लिए शिमला मिर्च का इस्तेमाल करेंगे?

श्रोता: आप एक सैंडबॉक्स प्रोग्राम लिख सकते हैं जिसमें आप शिमला मिर्च का उपयोग करेंगे।

प्रोफेसर: सही है। आप इसका उपयोग कैसे करेंगे? ठीक है, आप बस cap_enter कमांड के साथ सैंडबॉक्स मोड में प्रवेश करेंगे, और फिर प्रोग्राम चलाएंगे। क्या आप इस काम की उम्मीद करते हैं? मुझे लगता है कि कोई समस्या होगी। यह इस तथ्य से जुड़ा होगा कि यदि प्रोग्राम को यह उम्मीद नहीं है कि वह शिमला मिर्च द्वारा अलग-थलग हो जाएगा, तो वह साझा लाइब्रेरी खोलने की कोशिश कर सकता है, लेकिन यह ऐसा करने में सक्षम नहीं होगा, क्योंकि यह कुछ ऐसा नहीं खोल पाएगा, जैसे / lib / ... , क्योंकि यह नहीं करता है क्षमता मोड में अनुमति दी।

इसलिए, इन सैंडबॉक्स विधियों का उपयोग उन चीजों के लिए किया जाना चाहिए जिनके लिए डेवलपर ने भविष्यवाणी की है कि उन्हें इस मोड में निष्पादित किया जा सकता है। शायद अन्य सैंडबॉक्स विधियां हैं जिनका उपयोग अनमॉडिफाइड कोड के लिए किया जा सकता है, लेकिन तब आवश्यकताएं थोड़ी बदल सकती हैं। इसलिए, शिमला मिर्च के निर्माता पिछड़े संगतता के बारे में बहुत चिंतित नहीं हैं । अगर हमें अलग तरीके से फाइलें खोलनी हैं, तो हम उन्हें अलग तरीके से खोलेंगे। लेकिन अगर आप मौजूदा कोड को छोड़ना चाहते हैं, तो आपको कुछ और चाहिए, उदाहरण के लिए, एक पूर्ण-आभासी मशीन, ताकि आप उस कोड को चला सकें। यह सवाल है - क्या हमें कैप्सिकम सैंडबॉक्स के लिए आभासी मशीनों का उपयोग करना चाहिए?

श्रोता: इस मामले में, स्मृति उगलना संभव है।

प्रोफेसर: हाँ, यह है। लेकिन क्या होगा अगर हम स्मृति की परवाह नहीं करते हैं? इसलिए वर्चुअल मशीनें शायद बहुत अच्छी हैं, और वे बहुत अधिक मेमोरी का उपयोग नहीं करते हैं। तो हमें शिमला मिर्च में वीएम का उपयोग किस अन्य कारण से नहीं करना चाहिए?

श्रोता: नेटवर्क गतिविधि को नियंत्रित करना मुश्किल है।

प्रोफेसर: यह सही है! नेटवर्क पर क्या हो रहा है इसे नियंत्रित करना मुश्किल है क्योंकि या तो आप वर्चुअल मशीन को नेटवर्क तक पहुंच नहीं दे रहे हैं, या आप नेट मोड के माध्यम से नेटवर्क से कनेक्ट कर रहे हैं, या पूर्वावलोकन या VMWare का उपयोग कर रहे हैं। लेकिन फिर आपका सैंडबॉक्स पूरे इंटरनेट तक पहुंच सकता है। इसलिए, आपको वर्चुअल मशीन के लिए फ़ायरवॉल नियम सेट करके और अधिक विस्तार से नेटवर्क का प्रबंधन करना होगा। यह बहुत अच्छा नहीं है।

लेकिन अगर आपको नेटवर्क की परवाह नहीं है तो क्या होगा? मान लीजिए कि आपके पास किसी प्रकार का वीडियो है। यदि आप कुछ सरल वीडियो संसाधित करते हैं या tcpdump का विश्लेषण करते हैं। इस स्थिति में, आप बस वर्चुअल मशीन शुरू करते हैं, यह आपके tcpdump पैकेट को पार्स करने के लिए शुरू होता है और प्रस्तुति के बाद आपको वापस फेंक देता है कि tcpdump उपयोगकर्ता को लिखना चाहता है, क्योंकि कोई वास्तविक नेटवर्क I / O नहीं है। तो, क्या कोई और कारण है?



श्रोता: क्योंकि आरंभीकरण का ओवरहेड अभी भी अधिक है।

प्रोफेसर: हाँ, यह वर्चुअल मशीन शुरू करने का प्रारंभिक ओवरहेड हो सकता है, जो प्रदर्शन को कम करता है। तो यह सच है।

श्रोता: ठीक है, आप अभी भी डेटाबेस और इस तरह के अधिकार चाहते हो सकते हैं।

प्रोफेसर: हाँ। लेकिन आम तौर पर, इसका मतलब है कि आपके पास वास्तविक डेटा है जिसके साथ आप काम कर रहे हैं, और इसे अलग करना वास्तव में मुश्किल है। इस प्रकार, वर्चुअल मशीन वास्तव में एक बहुत बड़ा साझा तंत्र है, जिसके कारण आप आसानी से चीजों को साझा नहीं कर सकते हैं। तो यह उन स्थितियों के लिए अच्छा है जहाँ आपके पास एक पूरी तरह से अलग-थलग कार्यक्रम है जिसे आप चलाना चाहते हैं, और साथ ही साथ आप किसी भी फाइल, निर्देशिका, प्रक्रियाओं को साझा नहीं करना चाहते हैं और उन्हें अलग से काम करने दें।

तो यह बहुत अच्छा है। यह संभवतया, किसी तरह से, कैप्सिकम द्वारा प्रदान की गई तुलना में मजबूत अलगाव है, क्योंकि चीजों के गलत होने के लिए कम विकल्प हैं। हालाँकि, जब आप शिमला मिर्च का उपयोग करना चाहते हैं तो यह अलगाव कई स्थितियों में लागू नहीं होता है। क्योंकि शिमला मिर्च में आप सैंडबॉक्स की क्षमताओं का उपयोग करके बड़ी सटीकता के साथ फाइलों का आदान-प्रदान कर सकते हैं।

तो, चलो tcpdump लेते हैं और देखते हैं कि यूनिक्स तंत्र का उपयोग करके इसे अलग करना क्यों मुश्किल है। यदि आपको याद है, शिमला मिर्च में जिस तरह से tcpdump काम करता है वह यह है कि यह कुछ विशेष सॉकेट खोलता है और फिर नेटवर्क पैकेट पर पार्सिंग लॉजिक चलाता है, जिसके बाद इसे उपयोगकर्ता टर्मिनलों पर प्रिंट किया जाता है। तो एक यूनिक्स आधारित tcpdump सैंडबॉक्स के लिए क्या आवश्यक है? क्या आपके विशेषाधिकार सीमित हैं? यूनिक्स के साथ समस्या यह है कि वास्तव में विशेषाधिकारों को बदलने का एकमात्र तरीका निर्णय फ़ंक्शन में इनपुट को बदलना है, जो यह तय करता है कि आप वास्तव में किसी वस्तु तक पहुंच सकते हैं या नहीं। और केवल एक चीज जिसे आप वास्तव में बदल सकते हैं वह प्रक्रिया के विशेषाधिकार हैं। इसका मतलब यह होगा कि प्रक्रिया यूआईडी को किसी और को भेजने में सक्षम होगी।

या आप विभिन्न वस्तुओं के लिए अनुमतियाँ बदल सकते हैं जो आपके सिस्टम पर हैं। वास्तव में, आप इन दोनों समाधानों का उपयोग कर सकते हैं।

यदि आप सैंडबॉक्स में tcpdump को अलग करना चाहते हैं, तो संभवतः आपको एक अतिरिक्त उपयोगकर्ता आईडी का चयन करना होगा और काम करते समय इसे स्विच करना होगा। लेकिन यह एक आदर्श योजना नहीं है, क्योंकि आप एक ही उपयोगकर्ता आईडी के तहत tcpdump के कई उदाहरण नहीं चलाने वाले हैं। इसलिए, यदि मैं एक tcpdump उदाहरण से समझौता करता हूं, तो इसका मतलब यह नहीं होगा कि मैं हमलावर को अपने मशीन पर चल रहे अन्य tcpdump उदाहरणों को नियंत्रित करने के लिए इस कारक का उपयोग करने की अनुमति देना चाहता हूं। तो यह संभावित रूप से इस मामले में यूआईडी का उपयोग करने का एक बुरा निर्णय है।

एक और समस्या यह है कि यूनिक्स पर , आपके पास उपयोगकर्ता आईडी, विशेषाधिकारों, प्रक्रिया, या कुछ और को बदलने के लिए रूट विशेषाधिकार होना चाहिए, या उन्हें किसी अन्य चीज़ पर स्विच करना चाहिए। यह भी बुरा है।

और एक और समस्या यह है कि, आपकी आईडी चाहे कितनी भी हो , ओपन एक्सेस फाइल मौजूद नहीं हो सकती है। तो आपके सिस्टम में पठनीय या लिखने योग्य फ़ाइलों का एक पूरा समूह हो सकता है, उदाहरण के लिए, एक पासवर्ड फ़ाइल। वास्तव में, आपके पास कोई आईडी नहीं है, फिर भी प्रक्रिया इस पासवर्ड को पढ़ने में सक्षम होगी। तो यह भी बहुत अच्छा नहीं है।

इस प्रकार, यूनिक्स पर सैंडबॉक्स को व्यवस्थित करने के लिए, आपको संभवतः दोनों करना चाहिए: यूआईडी को बदल दें और सभी वस्तुओं के लिए अनुमतियों की सावधानीपूर्वक समीक्षा करें कि आपके पास बिना खुली हुई फाइलें नहीं हैं जो हैकर द्वारा अधिलेखित या पढ़ने योग्य होने के लिए संवेदनशील हैं। मुझे लगता है कि ऐसा करने में आपको एक और तंत्र मिलता है जिसका आप उपयोग कर सकते हैं। यदि आप इसे अंत तक सबमिट करते हैं, तो आपको फ़ाइलों को साझा करने या निर्देशिकाओं को साझा करने में कठिनाई हो सकती है।

अब देखते हैं कि शिमला मिर्च इस समस्या को कैसे हल करने की कोशिश कर रहा है। यहां, जैसे ही हम "सैंडबॉक्स" मोड में प्रवेश करते हैं, सब कुछ केवल अवसरों के माध्यम से उपलब्ध होगा। इसलिए, यदि आपके पास क्षमता नहीं है, तो आप किसी भी वस्तु तक नहीं पहुंच सकते।

लेख के ये लोग वैश्विक नामस्थान पर बहुत बड़ा दांव लगाते हैं। तो यह वैश्विक नाम स्थान क्या है, और वे इसके बारे में इतने चिंतित क्यों हैं?

उनकी फ़ाइल प्रणाली अपने आप में एक वैश्विक नामस्थान का एक चमकदार उदाहरण है। आप एक स्लैश लिख सकते हैं और किसी भी फ़ाइल को सूचीबद्ध कर सकते हैं जिसे आप इसके पीछे चाहते हैं। उदाहरण के लिए, घर की निर्देशिका में किसी के पास जाएं, उदाहरण के लिए, / घर / निकोलई / ... यह बुरा क्यों है? वे शिमला मिर्च में वैश्विक नाम स्थान के खिलाफ क्यों हैं? आपको क्या लगता है?



श्रोता: अगर आपके पास गलत अनुमतियां हैं, तो प्राधिकरण का उपयोग करते समय आप मुश्किल में पड़ सकते हैं।

प्रोफेसर: हाँ। समस्या यह है कि यह अभी भी यूनिक्स है । इस प्रकार, अभी भी नियमित फ़ाइल अनुमतियां हैं। इसलिए, शायद, यदि आप वास्तव में सैंडबॉक्स में कुछ प्रक्रिया को अलग करना चाहते हैं, तो आप सिस्टम में कुछ भी पढ़ने या लिखने में सक्षम नहीं होंगे। लेकिन अगर आप कुछ बेवकूफ उपयोगकर्ता की होम डायरेक्टरी में एक लिखने योग्य फ़ाइल ढूंढने का प्रबंधन करते हैं, तो यह सैंडबॉक्स क्लाइंट के लिए बल्कि अप्रिय होगा।

आमतौर पर, उनका विचार उन सभी वस्तुओं को सटीक रूप से सूचीबद्ध करना था जो प्रक्रिया है। क्योंकि आप बस एक फाइल डिस्क्रिप्टर तालिका में या कहीं और सभी सुविधाओं को सूचीबद्ध कर सकते हैं जहां आपके लिए सुविधाएं संग्रहीत हैं। और यह केवल एक चीज है जिसे प्रक्रिया छू सकती है।

लेकिन अगर आपके पास वैश्विक नामस्थान तक पहुंच है, तो यह संभावित रूप से असंभव है। क्योंकि भले ही आपके पास सुविधाओं का एक सीमित सेट है, फिर भी आप एक स्लैश के साथ लाइन शुरू कर सकते हैं और कुछ नई फ़ाइल लिख सकते हैं, और आप कभी भी संचालन या ऑब्जेक्ट के सेट को नहीं जान पाएंगे जो यह प्रक्रिया एक्सेस कर सकती है।

यही कारण है कि वे वैश्विक नाम स्थान के बारे में इतने चिंतित हैं, क्योंकि यह सैंडबॉक्स प्रक्रिया तक पहुंचने वाली हर चीज को ठीक से नियंत्रित करने के उनके लक्ष्य का खंडन करता है। इस तरह, उन्होंने FreeBSD में कई कर्नेल परिवर्तनों के साथ वैश्विक नाम स्थान को समाप्त करने का प्रयास किया। उनके मामले में, कर्नेल को यह सुनिश्चित करना था कि सभी ऑपरेशन फाइल डिस्क्रिप्टर के माध्यम से कुछ क्षमताओं के माध्यम से चलते हैं।

यदि हमें वास्तव में कर्नेल परिवर्तनों की आवश्यकता है, तो जांचें। यदि हम पुस्तकालय में इसे करते हैं तो क्या होगा? आखिरकार, हम शिमला मिर्च को लागू कर रहे हैं, जिसमें पहले से ही एक पुस्तकालय है। और हम जो कुछ भी करते हैं, वह इन सभी विशेषताओं को बदल देता है, जैसे कि "ओपन, रीड, राइट," विशेष रूप से क्षमता वाले फीचर्स का उपयोग करने के लिए। तब सभी ऑपरेशन कुछ विशेषताओं के माध्यम से जाएंगे, उन्हें फ़ाइल तालिका में देखें, और इसी तरह। क्या यह काम करेगा?



श्रोता: आप हमेशा syscall सिस्टम कॉल कर सकते हैं।

प्रोफेसर: हाँ। समस्या यह है कि सिस्टम कॉल का एक सेट था जिसे कर्नेल स्वीकार करता है, और यहां तक ​​कि अगर आप एक अच्छे पुस्तकालय को लागू करते हैं, तो यह इस संभावना को नहीं रोकेगा कि एक खराब या समझौता प्रक्रिया सीधे सिस्टम कॉल कर देगी। इसलिए, आपको किसी तरह कोर को मजबूत करना होगा।

संकलक में, खतरा मॉडल समझौता संकलक प्रक्रिया में नहीं है और मनमाने कोड में नहीं है, लेकिन प्रोग्रामर की लापरवाही में है। इसलिए यदि प्रोग्राम डेवलपर गलत नहीं है और सही काम करता है, तो लाइब्रेरी संभवतः काफी पर्याप्त होगी।

, , , . - , .

? — , cap_enter . , cap_enter ? , ?

, , . , , , . cap_enter , open () , openat .

Unix- , , open , openat , , , — : openat (dirfd,“name) . openat «name» , .



, Capability open , , , . . - ? -, ? , – . , ?

: , .

: . , , . , , . , . , , . -, .

, , , , , . , , .. , , , . ?

. ? , Unix PID . , kill (25) PID = 25 . , . Capsicum ? ?

: .

: . -, . , Unix , . , PID , , fork , pdfork , « ». , - .

. , . , - : « «» , , , , ». . , , - .

, , , . , . , , .



. , «-» . , openat , «-». , «-», .

? , «-» ?

: , , . , Capability .

: , .

: , , - …

: .

: - .

: , . «-» ? , openat - b/c/../.. ?

, , ? - , . , , , openat (d, “b/c/../..) «c» , - .



. , , , . «-», . , , . , , . , UID - ?

: , .

: , . , , «» UID ? : cap_enter UID . , . ? ?

: , UID , , , , , - .

: , . «» UID . , , UID . , , , . UID .

54:14

:

एमआईटी पाठ्यक्रम "कंप्यूटर सिस्टम सुरक्षा"। 6: «», 3


.

हमारे साथ बने रहने के लिए धन्यवाद। क्या आप हमारे लेख पसंद करते हैं? अधिक दिलचस्प सामग्री देखना चाहते हैं? एक आदेश रखकर या अपने दोस्तों को इसकी अनुशंसा करके हमें समर्थन दें, एंट्री-लेवल सर्वरों के अनूठे एनालॉग पर हैबर उपयोगकर्ताओं के लिए 30% छूट जो हमने आपके लिए ईजाद की है: VPS (KVM) E5-2650 v4 (6 कोर) 10GB DDR4 240GB SSD 1Gbps से पूरा सच $ 20 या सर्वर को कैसे विभाजित करें? (विकल्प RAID1 और RAID10 के साथ उपलब्ध हैं, 24 कोर तक और 40GB DDR4 तक)।

डेल R730xd 2 बार सस्ता? केवल हमारे पास 2 x Intel Dodeca-Core Xeon E5-2650v4 128GB DDR4 6x480GB SSD 1Gbps 100 टीवी 249 डॉलर में नीदरलैंड और यूएसए से है! इन्फ्रास्ट्रक्चर Bldg का निर्माण कैसे करें के बारे में पढ़ें । एक पैसा के लिए 9,000 यूरो की लागत डेल R730xd E5-2650 v4 सर्वर का उपयोग कर वर्ग?