Софтварный сэндбоксинг: как ограничить процесс без root

Автор Emilua разбирает основы песочниц и признаёт: цельной карты по теме до сих пор нет. За опору взято определение с Hack In The Box 2009: урезать права процесса программно, без прав администратора.

Обычные UNIX-права под это не заточены — они про администрирование, а не про код приложения. Поэтому появились Capsicum во FreeBSD, seccomp и Landlock в Linux.

Главный спорный тезис: user namespaces (основа Docker) для песочницы плохи. Внутри namespace процесс становится root, и ядро открывает пути, писавшиеся без учёта такого сценария.

🔗 Подробнее

@nuancesprog #Security #Linux