nega qualquer escrita a um determinado aplicativo e seus filhos

6

Então eu tenho um aplicativo Python (que gera outros processos) que eu quero negar qualquer escrita. Parece um trabalho para o SELinux. Você poderia descrever os passos necessários para realizar isso, ou talvez me direcionar para algum recurso de leitura, já que, pelo que descobri, não há muitos.

    
por ren 04.10.2011 / 20:27

1 resposta

3

Em todos os sistemas operacionais, é muito difícil fazer isso no momento. Os desenvolvedores do Chrome fizeram alguns progressos nessa área, mas ainda é difícil. Eles vieram com uma solução sobre 22k linhas de código (LOC) para sistemas Win * e 11k LOC para Linux.

Em notícias recentes, o FreeBSD 9.0 foi anunciado com o Capsicum , uma estrutura projetada para este propósito, mas pode funcionar apenas em sistemas * BSD.

No Linux, você pode evitar o SELinux ou o AppArmor usando o seccomp. Veja este artigo do LWN para mais detalhes e exemplos de uso. Mas é realmente difícil: é um recurso de tudo ou nada para chamadas do sistema, como ler ou escrever.

Atualmente há uma nova abordagem em andamento no LKML, usando o Berkeley Packet Filter, veja este post de Will Drewry.

    
por 17.01.2012 / 11:32