seccomp

seccomp (اختصارًا للحوسبة الآمنة ^{[ 1 ]} ) هي أداة أمان حاسوبية في نواة لينكس . تسمح seccomp للعملية بالانتقال أحادي الاتجاه إلى حالة "آمنة" حيث لا يمكنها إجراء أي استدعاءات نظامية باستثناء استدعاءات exit()SIGKILL و SIGSYS و sigreturn()SIGSYS على واصفات الملفات المفتوحة مسبقًا . في حال محاولتها إجراء أي استدعاءات نظامية أخرى، ستقوم النواة إما بتسجيل الحدث أو إنهاء العملية باستخدام SIGKILL أو SIGSYS . ^{[ 2 ] [ 3 ]} وبهذا المعنى، فهي لا تُحاكي موارد النظام، بل تعزل العملية عنها تمامًا.read()write()

يتم تفعيل وضع seccomp عبر prctl(2)استدعاء النظام باستخدام PR_SET_SECCOMPالوسيطة، أو (منذ نواة لينكس 3.17 ^{[ 4 ]} ) عبر seccomp(2)استدعاء النظام. ^{[ 5 ]} كان يتم تفعيل وضع seccomp سابقًا عن طريق الكتابة إلى ملف، /proc/self/seccompولكن تم استبدال هذه الطريقة بـ prctl(). ^{[ 6 ]} في بعض إصدارات النواة، يُعطّل وضع seccomp تعليمة RDTSCx86 ، التي تُعيد عدد دورات المعالج المنقضية منذ بدء التشغيل، والمستخدمة للتوقيت عالي الدقة. ^{[ 7 ]}

يُعدّ seccomp-bpf امتدادًا لـ seccomp ^{[ 8 ]} يسمح بتصفية استدعاءات النظام باستخدام سياسة قابلة للتكوين تُنفّذ باستخدام قواعد Berkeley Packet Filter . ويستخدمه OpenSSH ^{[ 9 ]} و vsftpd، بالإضافة إلى متصفحي الويب Google Chrome/Chromium على نظامي التشغيل ChromeOS و Linux. ^{[ 10 ]} (في هذا الصدد، يُحقق seccomp-bpf وظائف مشابهة، ولكن بمرونة أكبر وأداء أعلى، مقارنةً بـ systrace الأقدم - الذي يبدو أنه لم يعد مدعومًا لنظام Linux ).

يعتبر البعض أن seccomp قابل للمقارنة مع OpenBSD pledge(2) و FreeBSD capsicum (4) .

تم ابتكار برنامج seccomp لأول مرة من قبل أندريا أركانجيلي في يناير 2005 لاستخدامه في الحوسبة الشبكية العامة ، وكان الهدف منه في الأصل أن يكون وسيلة لتشغيل البرامج غير الموثوقة التي تتطلب موارد حاسوبية كبيرة بأمان. تم دمجه في النواة الرئيسية لنظام لينكس في الإصدار 2.6.12، الذي صدر في 8 مارس 2005. ^{[ 11 ]}

• يستخدم نظام Android مرشح seccomp-bpf في zygote منذ Android 8.0 Oreo. ^{[ 12 ]}
• تعتمد خيارات الحماية في systemd على seccomp. ^{[ 13 ]}
• QEMU ، المحاكي السريع، المكون الأساسي للمحاكاة الافتراضية الحديثة جنبًا إلى جنب مع KVM يستخدم seccomp على المعلمة --sandbox^{[ 14 ]}
• دوكر – برنامج يسمح بتشغيل التطبيقات داخل حاويات معزولة. يمكن لدوكر ربط ملف تعريف seccomp بالحاوية باستخدام المعامل --security-opt.
• كان برنامج CPUShare الخاص بأركانجيلي المستخدم الوحيد المعروف لـ seccomp لفترة من الزمن. ^{[ 15 ]} وفي فبراير 2009، أعرب لينوس تورفالدز عن شكوكه حول ما إذا كان أي شخص يستخدم seccomp بالفعل. ^{[ 16 ]} ومع ذلك، ردّ مهندس من جوجل بأن جوجل تدرس استخدام seccomp لعزل متصفح الويب كروم الخاص بها . ^{[ 17 ] [ 18 ]}
• Firejail هو برنامج مفتوح المصدر يعمل في بيئة معزولة لنظام Linux، ويستخدم مساحات أسماء Linux وSeccomp وميزات أمان أخرى على مستوى النواة لعزل تطبيقات Linux و Wine . ^{[ 19 ]}
• ابتداءً من الإصدار 20 من متصفح كروم، يتم استخدام seccomp-bpf لعزل مشغل أدوبي فلاش . ^{[ 20 ]}
• ابتداءً من الإصدار 23 من متصفح كروم، يتم استخدام seccomp-bpf لعزل أدوات العرض. ^{[ 21 ]}
• تحدد Snap شكل صندوق الحماية الخاص بتطبيقها باستخدام "الواجهات" التي يترجمها snapd إلى seccomp و AppArmor وغيرها من هياكل الأمان ^{[ 22 ].}
• يستخدم vsftpd تقنية الحماية seccomp-bpf ابتداءً من الإصدار 3.0.0. ^{[ 23 ]}
• يدعم OpenSSH برنامج seccomp-bpf منذ الإصدار 6.0. ^{[ 9 ]}
• يستخدم Mbox برنامج ptrace مع seccomp-bpf لإنشاء بيئة اختبار آمنة مع تكلفة أقل من استخدام ptrace وحده. ^{[ 24 ]}
• LXD، وهو " مشرف " أوبونتو للحاويات ^{[ 25 ] [ 26 ]}
• يستخدم كل من Firefox و Firefox OS seccomp-bpf ^{[ 27 ] [ 28 ]}
• يدعم Tor بروتوكول seccomp منذ الإصدار 0.2.5.1-alpha ^{[ 29 ]}
• يستخدم برنامج Lepton، وهو أداة ضغط JPEG طورتها شركة Dropbox، تقنية seccomp ^{[ 30 ].}
• Kafel هي لغة تكوين، تقوم بتحويل السياسات القابلة للقراءة إلى بايت كود seccompb-bpf ^{[ 31 ]}
• يستخدم نظام التشغيل Subgraph seccomp-bpf ^{[ 32 ] [ 33 ]}
• يستخدم Flatpak seccomp لعزل العمليات ^{[ 34 ]}
• Bubblewrap هو تطبيق خفيف الوزن تم تطويره من Flatpak ^{[ 35 ]}
• يستخدم minijail ^{[ 36 ]} seccomp لعزل العمليات ^{[ 37 ]}
• يستخدم SydBox seccomp-bpf ^{[ 38 ]} لتحسين وقت التشغيل وأمان ptrace sandboxing المستخدم لعزل حزم البناء على توزيعة Exherbo Linux.
• يستخدم برنامج File، وهو برنامج Unix لتحديد أنواع الملفات، seccomp لتقييد بيئة التشغيل الخاصة به ^{[ 39 ].}
• يستخدم برنامج Zathura، وهو عارض مستندات بسيط، مرشح seccomp لتنفيذ أوضاع الحماية المختلفة ^{[ 40 ].}
• يستخدم Tracker ، وهو تطبيق فهرسة ومعاينة لبيئة سطح المكتب GNOME، seccomp لمنع الاستغلال التلقائي لثغرات التحليل في ملفات الوسائط ^{[ 41 ].}

• eBPF

• الموقع الرسمي (أرشيف)
• بيئة اختبار كروميوم من جوجل ، LWN.net ، أغسطس 2009، بقلم جيك إيدج
• seccomp-nurse ، إطار عمل للحماية من الاختراق يعتمد على seccomp
• Documentation/prctl/seccomp_filter.txt ، جزء من وثائق نواة لينكس
• الأمن المتعمق لبرامج لينكس: منع الثغرات الأمنية والتخفيف من آثارها