LSM・SELinux
共通フックとラベルベースの強制アクセス制御
07
攻撃される場所ごとに制御する
安全機構
アプリの権限、システムコール、メモリ配置、実装言語は、それぞれ異なる種類の問題を扱います。
アプリLandlock・seccomp-BPF
ファイル操作とシステムコールを絞る
アクセス制御LSM
SELinuxやAppArmorが共通フックを使う
メモリとCPUKASLR・KPTI・CET
配置、ページテーブル、戻り先を保護する
実装言語C（GNU11）＋ Rust
所有権と型でメモリ操作を検査する
LSMLSMカーネルへ安全確認の場所を用意する共通の枠組み。は、ファイルを開く処理やプロセスへシグナルを送る処理などに共通の確認地点を設けます。SELinux、AppArmor、Landlockがこのフックを使います。
seccomp-BPF
システムコール番号と引数をフィルタリング
KASLR
カーネルの配置を起動ごとに変える
KPTI
Meltdown対策としてページテーブルを分離
Landlock
非特権プロセスが自身のファイルアクセスを制限
Rust基盤
メモリ安全なカーネルコードを段階的に導入