facebookincubator/bpfjailerОснованный на eBPF LSM мандатный контроль доступа и изолятор
Мандатный контроль доступа для Linux на основе eBPF.
Этот проект представляет собой полную переработку закрытого исходного кода BpfJailer и является полностью экспериментальным. Он использует новые возможности, такие как bpf arena, которые были недоступны, когда создавался внутренний BpfJailer. Ожидаются проблемы, и они не подлежат выплатам за ошибки и не рассматриваются как находки в области безопасности. После надлежащей оценки он заменит внутреннюю закрытую версию.
BpfJailer использует программы eBPF LSM для помещения процессов в тюрьмы, называемые подами, каждая
из которых привязана к роли из политики TOML. Под наследуется через fork и
exec. Дополнительные возможности политики:
kill и ptrace — целевые роли/поды, которым можно посылать сигналы или к которым можно подключаться.bpf — карты и программы eBPF каких ролей роль может открывать, или может ли она
вообще вызывать bpf(2).keyring — в связки ключей fs-verity каких ролей роль может добавлять сертификаты,
или может ли она вообще записывать в связки ключей.Отказы и события жизненного цикла записываются в закреплённые кольцевые буферы. bpfjlog
выводит удобочитаемую диагностику BPF и структурированные события и отслеживает
кольцевые буферы при живой замене политики.
Бинарник может заявить роль через xattr user.bpfj.policy.exec и
зачисляется в неё во время exec. Запущенные процессы также могут быть зачислены напрямую,
а непривилегированный процесс может зачислить себя через bpfjsrv/bpfjclient.
| Каталог | Бинарник | Назначение |
|---|---|---|
bpfj/ | Основная библиотека и программы BPF: jailer, enforcers, парсер политики, C++-хелперы libbpf. | |
ctl/ | bpfjctl | Универсальный инструмент для подключения, перезагрузки, инспекции и отключения jailer, а также для зачисления процессов. |
cmd/ | bpfjcmd | bpfjctl со своими аргументами и, опционально, своей политикой, скомпилированными внутрь. Он игнорирует argv, поэтому может быть статически слинкован и подписан через fs-verity как единое целое. |
srv/ | bpfjsrv | Активируемый через сокет сервер, который зачисляет непривилегированных вызывающих в роли, которые это разрешают. |
client/ | bpfjclient | Минимальный клиент для bpfjsrv, без зависимости от libbpf или инструментальной цепочки BPF. |
log/ | bpfjlog | Потребитель закреплённых кольцевых буферов диагностики и структурированных событий. |
tests/ | bpfjtest | Набор тестов. |
CONFIG_BPF_LSM=y и bpf в
загрузочном параметре lsm=). BpfJailer тестируется только на 6.16+, и более старые
ядра не поддерживаются.bpftool и компилятор C++20. clang 20
и 21 не генерируют addr_space_cast для __builtin_memcpy из памяти arena,
поэтому верификатор отвергает создаваемый ими jailer.CONFIG_BTRFS_FS=y, а не модулем. Программы
BPF читают типы inode btrfs из vmlinux.h, который Makefile
генерирует из BTF работающего ядра.protoc, которые Debian и Ubuntu поставляют как libprotobuf-dev
и protobuf-compiler.openssl, fsverity и setfattr, а также статические
архивы, перечисленные в Makefile (STATIC=1).Задайте LIBBPF_CFLAGS / LIBBPF_LIBS, если pkg-config не находит libbpf. Указывайте
LIBARENA на копию репозитория libarena при каждой сборке:
Каждая команда make ниже также требует LIBARENA (см. раздел Requirements), заданную в командной строке или экспортированную в окружение.
make # build/bpfjctl
make STATIC=1 # bpfjctl with no shared object dependencies
make client # build/bpfjclient, no BPF toolchain needed
make log # build/bpfjlog
make signing-key # generate a development signing key and certificate
make signed SIGNING_KEY=... SIGNING_CERT=... # static, fs-verity signed bpfjctl
make srv SIGNING_KEY=... SIGNING_CERT=... # static, signed bpfjsrv
make cmd SIGNING_KEY=... SIGNING_CERT=... \
CMD_ARGS="replace-compiled" CMD_POLICY=policy.toml CMD_ROLE=bpfjailer
make clean
Весь вывод помещается в build/. Задайте BUILD=, чтобы собирать в другом месте, например make BUILD=build-asan SANITIZE=address,undefined.
make test
Тесты должны запускаться от имени root, поскольку каждый из них создаёт пространство имён монтирования и монтирует bpffs. make test собирает от имени вызывающего пользователя и запускает только тестовый бинарник под sudo.
По умолчанию тесты выполняются последовательно, поскольку одновременное отсоединение BPF LSM может вызвать панику на затронутых ядрах. Используйте make test TEST_ARGS=Suite.Test для отдельного случая и включайте -j N или BPFJTEST_JOBS=N только внутри одноразовой виртуальной машины.
sudo bpfjctl check policy.toml # parse a policy and report what it holds
sudo bpfjctl attach policy.toml # load and pin the jailer
sudo bpfjctl replace policy.toml # reload without releasing jailed tasks
sudo bpfjctl wrap ROLE POD_ID -- CMD # run CMD in a new pod
sudo bpfjctl enroll ROLE POD_ID PID [NAME=VALUE...] # enroll with variables
sudo bpfjctl show PID # pods a process is in
sudo bpfjctl list # every pod and its processes
sudo bpfjctl detach # unpin and unload
Программы по умолчанию закреплены в /sys/fs/bpf/bpfj-pins. Используйте
--bpffs-path и --pin-dir, чтобы изменить это. Они остаются загруженными до тех пор, пока не выполнится detach.
bpfjctl wrap без --drop-cap и с не-root --uid оставляет команду
способной удалить себя из песочницы. См. bpfjctl wrap --help.
Запустите sudo build/bpfjlog, пока джейлер подключён, чтобы наблюдать за ним. Диагностика BPF
записывается в stderr, а структурированные события — в stdout. Логгер
автоматически переподключается, когда replace подставляет новый набор закреплённых карт.
replace загружает полный второй джейлер рядом с активным, переносит членство в поде,
переменные и отслеживаемое владение ресурсами, а затем атомарно заменяет
деревья закреплений. Оба дерева остаются подключёнными во время передачи,
форки и регистрация координируются с миграцией, а изменения владения
журналируются и воспроизводятся. Замена завершается отказом, если сохранённые версии макета
несовместимы или состояние не может быть безопасно скопировано.
base-role = "floor" # optional: enroll every process on the host
vars = ["vm_uuid"] # known variable names
[certs]
corp-ca = "MIIDXTCCAkWgAwIBAgIJAK..." # PEM or base64 DER certificate
[roles.floor]
any = true # open tracking-only base role