chroot und seccomp

Kurz: chroot ändert für einen Prozess das scheinbare Wurzelverzeichnis, seccomp begrenzt, welche Systemaufrufe er überhaupt ausführen darf. Beides sind Bausteine von Containern und Sandboxes.

Genauer: Sie ergänzen sich: Das eine schränkt die sichtbaren Dateien ein, das andere die erlaubten Fähigkeiten gegenüber dem Kernel.

Im Detail

• chroot: chroot /neu/wurzel programm lässt das Programm /neu/wurzel als / sehen. Nützlich für Reparaturen von einem Live-System aus und für Build-Umgebungen.
• Grenze von chroot: Kein Sicherheitsmechanismus an sich. Mit Root-Rechten kann ein Prozess ausbrechen. Container nutzen deshalb zusätzlich Namespaces.
• seccomp: Ein Filter (seccomp-bpf) erlaubt oder verbietet einzelne Systemaufrufe, oder beendet den Prozess bei einem verbotenen.
• Einsatz: Browser-Sandboxes, Docker-Standardprofil, systemd (SystemCallFilter=).
• Prinzip: Wer open und read braucht, braucht nicht ptrace oder mount. Das entspricht dem Prinzip der geringsten Rechte.

Siehe auch: Docker