Ja: Mit Landlock können Linux-Prozesse ihre eigenen Zugriffsrechte im Kernel einschränken, auch ohne Root-Rechte. Es ist eine zusätzliche Schutzschicht, keine Methode, um bestehende Dateirechte oder andere Sicherheitskontrollen zu umgehen. Welche Regeln verfügbar sind, hängt davon ab, ob der Kernel Landlock aktiviert hat und welche Landlock-ABI-Version er unterstützt.
Was Landlock macht – und was es nicht macht
Landlock ist ein Linux Security Module (LSM), das einer Anwendung erlaubt, sich selbst einzuschränken. Ein Prozess erstellt ein Ruleset, legt fest, welche Arten von Zugriffen dieses Ruleset behandelt, ergänzt passende Erlaubnisregeln und wendet es auf sich selbst an. Für behandelte Aktionen ohne passende Erlaubnisregel verweigert Landlock den Zugriff.
As an Amazon Associate I earn from qualifying purchases.
Das ist ein Einschränkungsmechanismus: Landlock kann Zugriffe, die Dateirechte oder andere Systemkontrollen bereits verbieten, nicht erlauben. Es ergänzt bestehende Kontrollen und kann nur weitere Beschränkungen hinzufügen. Die Linux-Security-Dokumentation beschreibt diesen Grundsatz ausdrücklich.
The Tool Desk
Outbyte PC Repair FREEClear out junk files and repair common Windows errorsFree Scan →Outbyte Driver Updater FREEFix the driver behind crashes, sound loss and screen glitchesFind Drivers →Die Regeln wirken auf den aufrufenden Thread und seine Nachkommen. Kindprozesse erben die Einschränkungen; ein Thread kann sie weiter verschärfen. Eine Beschränkung, die ein Thread setzt, gilt jedoch nicht automatisch für seine Geschwisterthreads. Für synchronisierte Durchsetzung über mehrere Threads gibt es eine ABI-Funktion, deren Verfügbarkeit vom Kernel abhängt.
#1 Best Overall
Welche Zugriffe sich begrenzen lassen
Landlock-Regeln können Zugriffe auf Dateisystemhierarchien steuern. Ab ABI v4 dokumentiert die Kernel-Schnittstelle außerdem Regeln für TCP-Ports, einschließlich Bind- und Verbindungsaktionen. Neuere Funktionen in der laufenden Dokumentation umfassen UNIX-Socket-Regeln und UDP-Portbeschränkungen; vor ihrer Verwendung muss die unterstützte ABI-Version des Zielsystems geprüft werden.
Die Rechte, die eine Anwendung als „handled“ festlegt, sind wichtig: Nur diese Zugriffstypen unterliegen dem jeweiligen Ruleset. Anwendungen sollten nicht voraussetzen, dass jede Kernel-Version dieselben Aktionen unterstützt. Die versionierte Landlock-Dokumentation für Linux 7.1 und die laufende User-Space-API-Dokumentation beschreiben den Umfang und die ABI-Entwicklung.
Unterstützung auf dem eigenen System prüfen
Landlock wurde mit Linux 5.13 eingeführt. Eine Kernel-Versionsnummer ab 5.13 reicht allein aber nicht als Nachweis: Der Kernel muss mit CONFIG_SECURITY_LANDLOCK=y gebaut worden sein, und Landlock muss beim Booten aktiviert sein. Einstellungen unterscheiden sich je nach Distribution und Kernel.
Do these 3 things before closing this tab:
1Fix the driver behind crashes, sound loss and screen glitches2Clear out junk files and repair common Windows errors3Scan for outdated or missing drivers - takes under a minuteProgramme sollen die verfügbare ABI zur Laufzeit abfragen, statt aus der Versionsnummer auf Unterstützung zu schließen. Die dokumentierte Abfrage erfolgt über landlock_create_ruleset(..., LANDLOCK_CREATE_RULESET_VERSION). Ein Fehler kann bedeuten, dass der Kernel die Schnittstelle nicht kennt oder dass Landlock deaktiviert ist.
Die ABI-Version bestimmt auch, welche Rechte eine Anwendung sicher anfordern kann. Laut Kernel-Dokumentation kam die Kontrolle der Dateitrunkierung mit ABI v3 hinzu; Regeln für TCP-Bindung und -Verbindungen kamen mit ABI v4. Eine kompatible Anwendung fragt die ABI ab und lässt nicht unterstützte Rechte weg.
Das explizite Auflisten der behandelten Rechte ist Teil des Kompatibilitätsmodells: Ein Kernel-Update soll nicht plötzlich eine zuvor unbehandelte Aktion durch dasselbe Ruleset strenger einschränken und dadurch die Anwendung unerwartet brechen.
Rank #4
Wichtige Grenzen bei der Sandbox-Planung
Vorher geöffnete Dateien
Landlock beschränkt bereits geöffnete Dateideskriptoren nicht nachträglich. Die relevanten Rechte werden beim Öffnen geprüft und an den Dateideskriptor gebunden. Eine Anwendung, die erst nach dem Öffnen sensibler Dateien ein Ruleset aktiviert, hat diese Zugriffe daher nicht rückwirkend abgesichert.
Dateisystem und nicht abgedeckte Objekte
Die aktuelle Kernel-Dokumentation nennt Einschränkungen beim Ändern der Dateisystemtopologie: Prozesse mit Dateisystembeschränkungen können diese nicht über mount() oder pivot_root() verändern. Einzelne nicht benutzerseitige Objekte, die über /proc/<pid>/fd/ oder /proc/<pid>/ns/ erreichbar sind, lassen sich nicht auf dieselbe Weise ausdrücklich beschränken.
Best Value
Gestapelte Regeln
Mehrere Landlock-Rulesets können gestapelt werden. Jede anwendbare Schicht muss den Zugriff erlauben; auch die übrigen Systemkontrollen müssen ihn zulassen. Laut aktueller Kernel-Dokumentation ist die Zahl gestapelter Rulesets auf 16 begrenzt.
Independent reader supportYour contribution helps us test, update, and keep practical guides available for everyone.Landlock, seccomp und andere Sicherheitskontrollen
Landlock und seccomp-bpf setzen an unterschiedlichen Stellen an. Landlock kontrolliert bestimmte Zugriffe auf Kernelobjekte, etwa Dateisystemhierarchien; seccomp-bpf filtert Systemaufrufe und deren Argumente. Die Kernel-Security-Dokumentation erläutert diese unterschiedlichen Zuständigkeiten unter Landlock als ergänzende Zugriffskontrolle.
Landlock ist deshalb kein pauschaler Ersatz für seccomp oder andere LSMs. Es lässt sich mit weiteren Kontrollen kombinieren, verschärft aber nur deren Wirkung. Bei einer Anwendungssandbox müssen außerdem offene Dateideskriptoren, mehrere Threads, nicht abgedeckte Objekte und die ABI des Zielkernels berücksichtigt werden.
Wann Landlock eine passende Schutzschicht ist
Landlock passt, wenn eine Anwendung ohne privilegierte Verwaltung ihre eigenen Zugriffe begrenzen soll und der Zielkernel die benötigten Regeln unterstützt. Es eignet sich als Teil einer Sandbox-Architektur, in der ein Programm nur die Datei- oder Netzwerkaktionen behalten soll, die es tatsächlich benötigt.
Quick Recap
- Prüfen Sie die Landlock-ABI zur Laufzeit und behandeln Sie fehlende Unterstützung ausdrücklich.
- Behandeln Sie nur die Rechte, die Ihre Richtlinie wirklich einschränken soll und die der Kernel kennt.
- Planen Sie die Einrichtung vor dem Öffnen von Ressourcen, die die Sandbox begrenzen soll.
- Berücksichtigen Sie Threads und vererbbare Beschränkungen von Kindprozessen.
- Kombinieren Sie Landlock bei Bedarf mit anderen Kontrollen, statt es als alleinigen Schutz gegen beliebige Angriffe zu verstehen.
Product prices and availability are accurate as of the date/time indicated and are subject to change. Any price and availability information displayed on Amazon at the time of purchase will apply.
