Изоляция ФС

@qweururu · Регистрация: 01.11.2024

Студворк — интернет-сервис помощи студентам

Есть потребность сделать некий каталог корневым для процесса. Есть chroot, но написано, что он дырявый. Ищу альтернативы без дыр. Напишите, кто знает.

@Pphantom · 01.11.2024, 11:31

SELinux, AppArmor и аналоги. Docker и аналоги.

P.S. Правда, как всегда бывает в подобных случаях, проще не читать то, что "написано". Точнее, соотносить требования к инструменту с реальной стоимостью решаемой задачи.

@Eddy_Em · 01.11.2024, 11:47

В смысле чрут - "дырявый"? Так больше и вариантов нет. Всякие убогие докеры на чруте базируются, а то и еще хуже…
Чрут - самая приличная песочница.
Ну, более радикальный вариант еще есть - виртуальная машина…

@qweururu · 01.11.2024, 11:57 **[ТС]**

Сообщение от Eddy_Em

В смысле чрут - "дырявый"?

Там в мане написано:

In particular, it is not intended to be used for any kind of security purpose, neither to fully sandbox a process nor to restrict filesystem system calls

Такие дела.

@Pphantom · 01.11.2024, 12:25

Сообщение от qweururu

Там в мане написано

Это для того, чтобы какой-нибудь одаренный кадр не начал писать с его использованием системы управления баллистическими ракетами или доморощенные аналоги SWIFT, а потом заваливал суды исками о компенсации ущерба.

Если вы разрабатываете софт с реально требуемой защитой такого уровня (и соответствующей стоимости), тогда ой. Но такие разработчики обычно не спрашивают советов на форумах.

А если ваши потребности не выходят за рамки стандартных для ПО общего назначения, то уровня защиты, обеспечиваемого chroot, вам вполне хватит.

@qweururu · 01.11.2024, 17:53 **[ТС]**

Нашел решение. Вот так это делается:

C
1
auto err = mount(".", "/", nullptr, MS_BIND | MS_REC, nullptr) || pivot_root("/..", "/..") || chdir("/") || umount2(".", MNT_DETACH);

@Max Dark · 01.11.2024, 17:56

Не по теме:

Сообщение от Eddy_Em

Всякие убогие докеры на чруте базируются

Давно уже namespaces используются...

Новые блоги и статьи Все статьи Все блоги /
Midnight Chicago Blues kumehtar 24.03.2026 Такой Midnight Chicago Blues, знаешь?. . Когда вечерние улицы становятся ночными, а ты не можешь уснуть. Ты идёшь в любимый старый бар, и бармен наливает тебе виски. Ты смотришь на пролетающие. . .	Контроль уникальности заводского номера - вариант №2 Maks 24.03.2026 В отличие от предыдущего варианта добавлено прерывание циклов, также добавлены новые переменные для сохранения контекста ошибки перед прерыванием цикла: Процедура ПередЗаписью(Отказ, РежимЗаписи,. . .	SDL3 для Desktop (MinGW): Вывод текста со шрифтом TTF с помощью библиотеки SDL3_ttf на Си и C++ 8Observer8 24.03.2026 Содержание блога Финальные проекты на Си и на C++: finish-text-sdl3-c. zip finish-text-sdl3-cpp. zip	Жизнь в неопределённости kumehtar 23.03.2026 Жизнь — это постоянное существование в неопределённости. Например, даже если у тебя есть список дел, невозможно дойти до точки, где всё окончательно завершено и больше ничего не осталось. В принципе,. . .
Модель здравоСохранения: работники работают быстрее после её введения. anaschu 23.03.2026 geJalZw1fLo Корпорация до введения программа здравоохранения имела много невыполненных работниками заданий, после введения программы количество заданий выросло. Но на выплатах по больничным это. . .	Контроль уникальности заводского номера - вариант №1 Maks 23.03.2026 Алгоритм контроля уникальности заводского (или серийного) номера на примере документа выдачи шин для спецтехники с табличной частью. Данные берутся из регистра сведений, по которому настроено. . .	Хочу заставить корпорации вкладываться в здоровье сотрудников: делаю мат модель здравосохранения anaschu 22.03.2026 e7EYtONaj8Y Z4Tv2zpXVVo https:/ / github. com/ shumilovas/ med2. git	Программный отбор элементов справочника по группе Maks 22.03.2026 Установка программного отбора элементов справочника "Номенклатура" из модуля формы документа. В качестве фильтра для отбора справочника служит группа номенклатуры. Отбор по наименованию группы. . .

@qweururu -50 / 1 / 0 Регистрация: 01.11.2024 Сообщений: 30

	Изоляция ФС 01.11.2024, 11:22. Показов 1136. Ответов 6 Метки нет (Все метки) Есть потребность сделать некий каталог корневым для процесса. Есть chroot, но написано, что он дырявый. Ищу альтернативы без дыр. Напишите, кто знает. 0

@Pphantom 2320 / 1562 / 722 Регистрация: 17.03.2022 Сообщений: 5,037
	01.11.2024, 11:31
	SELinux, AppArmor и аналоги. Docker и аналоги. P.S. Правда, как всегда бывает в подобных случаях, проще не читать то, что "написано". Точнее, соотносить требования к инструменту с реальной стоимостью решаемой задачи. 0

@Eddy_Em Windows must die 676 / 859 / 103 Регистрация: 23.11.2021 Сообщений: 5,079 Записей в блоге: 18
	01.11.2024, 11:47
	В смысле чрут - "дырявый"? Так больше и вариантов нет. Всякие убогие докеры на чруте базируются, а то и еще хуже… Чрут - самая приличная песочница. Ну, более радикальный вариант еще есть - виртуальная машина… 0