Jailer - eBPF अनिवार्य एक्सेस कंट्रोल

चेतावनी: यह प्रोजेक्ट भारी विकास के अधीन है और उत्पादन उपयोग के लिए तैयार नहीं है। API, नीति प्रारूप और व्यवहार बिना सूचना के बदल सकते हैं। केवल परीक्षण और प्रयोग के लिए उपयोग करें।

आभार

नोट: यह एक स्वतंत्र कार्यान्वयन है और Meta के समाधान के समान प्रोजेक्ट नहीं है। जबकि BpfJailer कार्यात्मक रूप से समान है और Meta में Liam Wisehart, Justin Ngai, Carl El Khoury, Mansee Chadha द्वारा मूल विचार और डिज़ाइन से प्रेरित है, यह एक अलग कोडबेस है जो स्वतंत्र रूप से विकसित किया गया है। हम उस दृष्टि और मूलभूत अवधारणाओं के लिए अपना आभार व्यक्त करते हैं जिन्होंने इस कार्य को प्रेरित किया।

समुदाय

Jailer एक eBPF-आधारित प्रोसेस जेलिंग सिस्टम है जो Linux के लिए अनिवार्य एक्सेस कंट्रोल (MAC) प्रदान करता है। यह BPF task_storage मैप्स का उपयोग करके प्रोसेस को ट्रैक करता है और फ़ाइल एक्सेस, नेटवर्क संचालन और प्रोसेस निष्पादन पर भूमिका-आधारित नीतियों को लागू करता है।

विशेषताएँ (वर्तमान संस्करण)

विशेषता	स्थिति	विवरण
प्रोसेस ट्रैकिंग	✅ कार्यरत	task_storage BPF मैप का उपयोग करके प्रोसेस को ट्रैक करता है
सॉकेट नामांकन	✅ कार्यरत	प्रोसेस Unix सॉकेट API के माध्यम से नामांकन करते हैं
भूमिका-आधारित नीतियाँ	✅ कार्यरत	प्रतिबंधित और अनुमत भूमिकाएँ
फ़ाइल एक्सेस कंट्रोल	✅ कार्यरत	फ़ाइल खोलने के संचालन को ब्लॉक/अनुमति दें
जेल विरासत	✅ कार्यरत	चाइल्ड प्रोसेस पैरेंट की जेल विरासत में प्राप्त करते हैं
नेटवर्क कंट्रोल	✅ कार्यरत	सॉकेट बाइंड/कनेक्ट को ब्लॉक/अनुमति दें
पोर्ट/प्रोटोकॉल फ़िल्टरिंग	✅ कार्यरत	प्रति-पोर्ट TCP/UDP अनुमति/अस्वीकृति नियम
Exec कंट्रोल	✅ कार्यरत	प्रोसेस निष्पादन को ब्लॉक/अनुमति दें
पाथ मैचिंग	✅ कार्यरत	कैश अमान्यकरण के साथ डेंट्री वॉकिंग
हस्ताक्षरित बाइनरीज़	🚧 स्टब	बाइनरी हस्ताक्षर सत्यापन (कार्यान्वित नहीं)
वैकल्पिक नामांकन	✅ कार्यरत	निष्पादन योग्य, cgroup, या xattr द्वारा स्वतः-नामांकन
डेमनलेस मोड	✅ कार्यरत	बूटस्ट्रैप बाइनरी प्रारंभिक बूट पर प्रोग्राम पिन करती है
ऑडिट इवेंट्स	✅ कार्यरत	systemd-journald एकीकरण के लिए Perf बफ़र

Nginx डेमो

जटिल डेमो

कर्नेल आवश्यकताएँ

न्यूनतम कर्नेल संस्करण

• Linux 5.11+ (BPF_MAP_TYPE_TASK_STORAGE समर्थन के लिए)
• अनुशंसित: Linux 6.1+ (बेहतर BTF समर्थन)

आवश्यक कर्नेल कॉन्फ़िगरेशन

# Check current kernel config
zcat /proc/config.gz 2>/dev/null || cat /boot/config-$(uname -r)

आवश्यक विकल्प:

CONFIG_BPF=y
CONFIG_BPF_SYSCALL=y
CONFIG_BPF_LSM=y
CONFIG_DEBUG_INFO_BTF=y

BPF LSM सक्षम करें

BPF LSM को कर्नेल बूट पैरामीटर में सक्षम किया जाना चाहिए:

# Check if BPF LSM is active
cat /sys/kernel/security/lsm
# Should include "bpf" in the list

# If not, add to kernel boot parameters:
# Edit /etc/default/grub and add to GRUB_CMDLINE_LINUX:
#   lsm=lockdown,capability,landlock,yama,apparmor,bpf

# Then update grub and reboot:
sudo update-grub
sudo reboot

Ubuntu/Debian सिस्टम के लिए, आप यह भी उपयोग कर सकते हैं:

# Create a script to enable BPF LSM
cat > /tmp/enable_bpf_lsm.sh << 'EOF'
#!/bin/bash
GRUB_FILE="/etc/default/grub"
if grep -q "lsm=" "$GRUB_FILE"; then
    sudo sed -i 's/lsm=[^""]*/lsm=lockdown,capability,landlock,yama,apparmor,bpf/' "$GRUB_FILE"
else
    sudo sed -i 's/GRUB_CMDLINE_LINUX="\(.*\)"/GRUB_CMDLINE_LINUX="\1 lsm=lockdown,capability,landlock,yama,apparmor,bpf"/' "$GRUB_FILE"
fi
sudo update-grub
echo "BPF LSM enabled. Please reboot."
EOF
chmod +x /tmp/enable_bpf_lsm.sh
sudo /tmp/enable_bpf_lsm.sh

इंस्टॉल करें

रिलीज़ से

प्रीबिल्ट tarballs x86_64 और aarch64 के लिए प्रकाशित किए गए हैं, जो glibc 2.31 के विरुद्ध बनाए गए हैं ताकि वे उस वितरण की तुलना में पुराने वितरणों पर भी चल सकें जिस पर उन्हें बनाया गया था।

curl -fsSL https://github.com/gen0sec/jailer/raw/main/install.sh | sudo sh

स्क्रिप्ट कुछ भी इंस्टॉल करने से पहले SHA256 सत्यापित करती है। प्रत्येक आर्टिफ़ैक्ट GPG-हस्ताक्षरित भी होता है; प्रामाणिकता जाँचने के लिए, पहले रिलीज़ कुंजी आयात करें:

curl -fsSL https://github.com/gen0sec/jailer/releases/download/v0.1.1/bpfjailer-signing-key.asc | gpg --import

मैन्युअल रूप से इंस्टॉल करने के लिए, अपनी आर्किटेक्चर के लिए tarball को releases page से डाउनलोड करें और:

tar xzf bpfjailer-*-linux-gnu.tar.gz && cd bpfjailer-*-linux-gnu
sudo install -Dm0755 bpfjailer-bootstrap /usr/sbin/bpfjailer-bootstrap
sudo install -Dm0755 bpfjailer-daemon    /usr/sbin/bpfjailer-daemon
sudo install -Dm0644 bpfjailer.bpf.o     /usr/lib/bpfjailer/bpfjailer.bpf.o
sudo install -Dm0644 policy.json         /etc/bpfjailer/policy.json
sudo install -Dm0644 bpfjailer-*.service /etc/systemd/system/
sudo systemctl daemon-reload

फिर इंस्टॉलेशन मोड्स के अंतर्गत वर्णित दो मोड्स में से एक को सक्षम करें।

बिल्ड

पूर्वापेक्षाएँ

# Install Rust
curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh

# Install build dependencies (Ubuntu/Debian)
sudo apt-get install -y clang llvm libelf-dev linux-headers-$(uname -r)

# Install BPF target for Rust
rustup target add bpfel-unknown-none

सभी घटकों का निर्माण करें

cd jailer

# Build BPF programs
cd bpfjailer-bpf && cargo build --release && cd ..

# Build daemon and client
cargo build --release

त्वरित शुरुआत

1. डेमन प्रारंभ करें

# Run as root (loads config/policy.json if present)
sudo RUST_LOG=info ./target/release/bpfjailer-daemon

Expected output:

[INFO] BpfJailer daemon starting...
[INFO] Loading BpfJailer eBPF programs with libbpf-rs...
[INFO] ✓ pending_enrollments map available for enrollment
[INFO] ✓ network_rules map available for port/protocol filtering
[INFO] ✓ task_storage map created successfully
[INFO] ✓ Program task_alloc attached
[INFO] ✓ Program file_open attached
[INFO] ✓ Program socket_bind attached
[INFO] ✓ Program socket_connect attached
[INFO] ✓ Program bprm_check_security attached
[INFO] Initialized with default roles: restricted (1), permissive (2)
[INFO] Loaded policy from config/policy.json
[INFO] Loaded 5 roles
[INFO] Enrollment server listening on /run/bpfjailer/enrollment.sock

2. सुरक्षा परीक्षण चलाएँ

# Run vulnerability tests WITHOUT jailing (shows attacks succeed)
sudo python3 tests/vulnerable_apps/run_tests.py

# Run vulnerability tests WITH restricted role (shows attacks blocked)
sudo python3 tests/vulnerable_apps/run_tests.py --role 1

# Run specific test
sudo python3 tests/vulnerable_apps/run_tests.py --role 1 --test path

# List available tests and roles
sudo python3 tests/vulnerable_apps/run_tests.py --list

प्रतिबंधित भूमिका के साथ उदाहरण आउटपुट:

============================================================
TEST: Path Traversal / Arbitrary File Read
============================================================
Attempting to read /etc/passwd via path traversal...
BLOCKED - Permission denied (BpfJailer blocked file access)

============================================================
TEST: Command Injection
============================================================
Attempting command injection...
BLOCKED - Permission denied (BpfJailer blocked exec)

============================================================
TEST: Reverse Shell / Data Exfiltration
============================================================
Test 1: Reverse shell connection to 127.0.0.1:4444
BLOCKED - Permission denied (BpfJailer blocked connect)

उपलब्ध सुरक्षा परीक्षण