[論文レビュー] nsroot: Minimalist Process Isolation Tool Implemented With Linux Namespaces

Inge Alexander Raknes, Bjørn Fjukstad+1 more|arXiv (Cornell University)|Sep 13, 2016

Business Process Modeling and Analysis参考文献 7被引用数 5

ひとこと要約

nsroot は、Linux ナイペースを用いて構築された軽量で root 不要のプロセス隔離ツールであり、共有 HPC システム上でのデータ分析ツールのセキュアで最小限のサンドボックス化を可能にする。特権権限を必要とせず、chroot に類似したコマンドラインインターフェースを提供し、AppImage と統合してパッケージ化されたアプリケーションのセキュアな実行を可能にし、小さな保守可能なコードベースで強力な隔離を実現する。

ABSTRACT

Data analyses in the life sciences are moving from tools run on a personal computer to services run on large computing platforms. This creates a need to package tools and dependencies for easy installation, configuration and deployment on distributed platforms. In addition, for secure execution there is a need for process isolation on a shared platform. Existing virtual machine and container technologies are often more complex than traditional Unix utilities, like chroot, and often require root privileges in order to set up or use. This is especially challenging on HPC systems where users typically do not have root access. We therefore present nsroot, a lightweight Linux namespaces based process isolation tool. It allows restricting the runtime environment of data analysis tools that may not have been designed with security as a top priority, in order to reduce the risk and consequences of security breaches, without requiring any special privileges. The codebase of nsroot is small, and it provides a command line interface similar to chroot. It can be used on all Linux kernels that implement user namespaces. In addition, we propose combining nsroot with the AppImage format for secure execution of packaged applications. nsroot is open sourced and available at: https://github.com/uit-no/nsroot

研究の動機と目的

• 共有 HPC プラットフォーム上でのライフサイエンス分野のデータ分析ツールのセキュアでポータブルな実行ニーズの増大に対応すること。
• 従来の仮想マシンやコンテナが、root アクセスができない HPC ユーザーにとってしばしば複雑で特権権限を必要とするという限界を克服すること。
• chroot のシンプルさを模倣するが、Linux ナイペースを用いてより強力な隔離を提供するミニマムなユーザースペースプロセス隔離ツールを設計すること。
• 名前空間ベースの隔離により、システムアクセスを制限することで、信頼できないまたはセキュリティが不十分なツールのセキュアな実行を可能にすること。
• アプリケーションの依存関係をバンドルしたポータブルでセキュアな配布と実行を可能にする AppImage 形式との統合を実現すること。

提案手法

• root 特権を必要とせずに、プロセス環境を隔離するための Linux ユーザー ナイペースを活用する。
• システム管理者やユーザーがなじみやすい chroot に類似したコマンドラインインターフェースを実装する。
• ファイルシステム、UTS、PID、ネットワーク、マウント ナイペースへのアクセスを制限し、プロセスを定義された境界内に閉じ込める。
• 保守性を高め、攻撃面を最小限に抑えるために、最小限のコードベースを採用する。
• アプリケーションとその依存関係をバンドルしたポータブルでセキュアな実行を可能にするために、AppImage と統合する。
• ユーザー ナイペースをサポートするすべての Linux カーネルで動作可能であり、広範な互換性を確保する。

実験結果

リサーチクエスチョン

• RQ1 root 特権が与えられない HPC 環境で、どのようにプロセス隔離を実現できるか？
• RQ2 Linux ナイペースを用いて、chroot に類似した軽量なツールを構築し、従来の chroot よりも強力な隔離を実現できるか？
• RQ3 データ分析ツールのセキュアでポータブルな実行を可能にする最小限の実装とは何か？
• RQ4 名前空間ベースの隔離と効果的に統合することで、AppImage 形式を用いたセキュアなアプリケーション配信が可能か？
• RQ5 複雑な設定や特権操作を必要とせず、使いやすくかつセキュアなツールを実現できるか？

主な発見

• nsroot は、ユーザー ナイペースのみを用いて強力なプロセス隔離を実現し、root アクセスなしでセキュアな実行を可能にした。
• 最小限のコードベースにより保守性が向上し、脆弱性のリスクが低減された。
• chroot に類似した使いやすさを実現し、HPC ユーザーによる採用の障壁を低減した。
• AppImage との統合により、すべての依存関係をバンドルしたセキュアで自己完結型のアプリケーション実行が可能になった。
• ユーザー ナイペースをサポートするすべての Linux カーネルで動作可能であり、広範な展開可能性を有する。
• 信頼できないまたはセキュリティが不十分なデータ分析ツールが共有コンピューティング環境に与えるリスクを効果的に軽減した。