Jailkit — изоляция потенциально опасных процессов в Linux

Программа Jailkit позволяет создавать изолированные среды в Ubuntu, в которые можно помещать пользователей или программы. Всё, что попадает в Jailkit будет изолировано от основной системы.

Как работает Jailkit

1. вы устанавливаете Jailkit;
2. выбираете любого пользователя и помещаете его в «тюрьму» с помощью команды jk_jailuser;
3. «плененный» пользователь не может выйти за пределы указанной вами директории и может запускать только те программы, которые вы разрешили.

Зачем нужен Jailkit

Программа идеально подходит для тех, кто предоставляет гостевой ssh-доступ к своей системе или хочет запустить публичные сетевые сервисы типа FTP, HTTP, CVS и т.д. Автор программы признается, что его разработкой заинтересовались крупные провайдеры, лидирующие фирмы по обеспечению информационной безопасности и даже несколько крупных корпораций.

Как установить Jailkit в Ubuntu

Откройте терминал и впишите следующие строки:

$ sudo apt-get install build-essential autoconf automake libtool flex bison debhelper binutils-gold


Теперь зайдите на официальную страницу загрузок Jailkit и скачайте самую свежую версию программы. Дальше нужно собрать deb-пакет:


$ tar -vxzf jailkit-2.16.tar.gz
$ cd jailkit-2.16/
$ sudo ./debian/rules binary


... и установить его:


$ cd ..
$ sudo dpkg -i jailkit_2.16-1_amd64.deb


После этого в системе появятся программы для поддержания «тюремного» режима:

• jk_addjailuser
• jk_chrootlaunch
• jk_cp
• jk_jailuser
• jk_lsh
• jk_uchroot
• jk_check
• jk_chrootsh
• jk_init
• jk_list
• jk_socketd
• jk_update

Установка завершена.

Настройка Jailkit

Прежде всего, нужно создать рабочую директорию Jailkit и поместить в нее все разрешенные программы:


$ sudo mkdir /opt/jail
$ sudo chown root:root /opt/jail
$ sudo jk_init -v /opt/jail netutils basicshell jk_lsh openvpn ssh sftp


Готово.

Использование Jailkit

Как говорилось ранее, вы можете поместить в изолированную среду любого пользователя. Для этого предназначена команда jk_jailuser. Рассмотрим для примера лишение свободы пользователя robber:


$ sudo jk_jailuser -m -j /opt/jail/ robber


Теперь попросим этого пользователя залогиниться и посмотрим что произойдет:

$ ssh robber@localhost
robber@localhost's password:
Welcome to Ubuntu 12.04 LTS (GNU/Linux 3.2.0-25-generic x86_64)

Last login: Sat Jun 23 12:46:01 2012 from localhost
bash: groups: command not found
I have no name!@desktop:~$
I have no name!@desktop:~$ cd /
I have no name!@desktop:/$ ls
bin dev etc home lib lib64 run usr var
I have no name!@desktop:/$

Как видим, пользователю robber как бы доступна вся система, включая системные директории /dev, /etc и /var, однако это только кажется. Пользователь находится внутри директории /opt/jail и не может при всем желании нанести системе вред. Даже если пользователь найдет дыру в какой-нибудь программе и подберет эксплоит к ней, максимум чего он сможет добиться — получит контроль за директорией /opt/jail, тогда как настоящие системные файлы в /etc и пользовательские данные в /home останутся недоступными.