proto.lib

Landlock: tiến trình tự giới hạn chính mình không cần root

Landlock cho phép một tiến trình không đặc quyền khai báo ruleset (đường dẫn nào được đọc/ghi/thực thi, phiên bản mới hơn còn kiểm soát bind/connect theo cổng) rồi tự áp dụng lên chính nó; mọi thứ chạy sau đó — kể cả code được load hoặc exec — đều bị giới hạn, và ruleset chỉ có thể siết chặt thêm chứ không bao giờ nới lỏng.

Operating SystemsNâng cao2026-08-24
Landlock: tiến trình tự giới hạn chính mình không cần root

Tags

#landlock#sandbox#unprivileged#lsm#least-privilege#path-based

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

Operating SystemsNâng cao

fanotify: giám sát toàn bộ mount và có quyền chặn truy cập

Khác với inotify theo dõi từng thư mục, fanotify có thể giám sát toàn bộ một MOUNT và phát PERMISSION EVENT — handler phải cho phép hoặc từ chối open() trước khi nó thực sự xảy ra bằng fanotify_write(FAN_ALLOW/FAN_DENY); đây là cơ chế nền cho on-access antivirus và các policy agent chặn truy cập theo thời gian thực.

#fanotify#mount-monitoring#permission-events#on-access-scan
Operating SystemsNâng cao

seccomp-BPF: sandbox bằng cách lọc syscall

Một process cài một chương trình BPF vào seccomp filter (một chiều, được kế thừa qua fork/exec); mỗi lần process gọi syscall, kernel chạy BPF này trên số syscall và các tham số nguyên để quyết định ALLOW, trả ERRNO giả, KILL tiến trình, sinh SIGSYS (TRAP), hay báo cho một supervisor qua notify — nhưng filter không thể đọc dữ liệu ở phía sau con trỏ tham số.

#seccomp#bpf#sandbox#syscall-filter
Operating SystemsNâng cao

Linux Capabilities: chia nhỏ quyền root

Thay vì cấp toàn bộ quyền root, Linux capabilities chia nhỏ đặc quyền thành từng đơn vị như CAP_NET_BIND_SERVICE (bind cổng dưới 1024) hay CAP_SYS_ADMIN; file capability gắn trên binary an toàn hơn setuid vì không nâng toàn bộ uid. Trình bày permitted/effective/inheritable set, bounding set, và việc container runtime mặc định drop hầu hết capability.

#capabilities#cap-net-bind-service#setcap#bounding-set