Linux und Chrome: Flash Player wird doppelt eingesperrt
In 64-Bit-Versionen von Ubuntu 12.04 sorgt ein zweites Sicherheitsframework(öffnet im neuen Fenster) dafür, dass der Flash Player im Chrome-Browser und der Open-Source-Variante Chromium keine unnötigen Zugriffe auf das Betriebssystem erhält. Dafür wurde das bereits im Linux-Kernel vorhandene Seccomp(öffnet im neuen Fenster) um weitere Funktionen erweitert.
Die neue Version stammt vom Entwickler Kees Cook(öffnet im neuen Fenster) und trägt den Namen Seccomp Mode 2. Canonicals Will Drewr hat sie und den 64-Bit-Linux-Kernel von Ubuntu 12.04 eingepflegt.
Seccomp Mode 2
Als Referenzanwendung hatte Google-Entwickler Chris Evans(öffnet im neuen Fenster) den FTP-Server Vsftp angepasst. Zusammen mit Seccomp Mode 2 soll Vsftp dabei nur ausgewählte Funktionen des Kernel-APIs nutzen können. Diese Filter können für jede Applikation angepasst und gesetzt werden. Anwendungen können den Filter selbst setzen. Das hat mehrere Vorteile, schreibt Evans. Denn so kann Vsftp auch mit eingeschränkten Benutzerrechten gestartet werden und dennoch in einer sicheren Sandbox laufen. Künftige Versionen von Chrome und Chromium könnten auf den Setuid-Helper verzichten.
Evans vergleicht den Funktionsumfang von Seccomp mit der Ptrace-basierten Sandbox. Allerdings sei eine mit Seccomp implementierte Sandbox schneller und robuster als eine mit Ptrace.
Seccomp-Sandbox von 2009
Die erste Version von Seccomp befindet sich bereits seit etlichen Jahren im Linux-Kernel(öffnet im neuen Fenster), wird dort aber bislang kaum genutzt. Eine in einer Seccomp-Sandbox eingesperrte Anwendung darf nur lesen und schreiben sowie sich beenden. Sobald sie andere Systemfunktionen nutzen will, wird sie vom Linux-Kernel terminiert.
Damit ist das Flash-Plugin zumindest unter Ubuntu 12.04 in der 64-Bit-Version mit Chrome 20 in gleich zwei Sandboxes eingesperrt. Das könnte Angreifer daran hindern, sich lokal erweiterte Benutzerrechte zu verschaffen, weil sie daran gehindert würden, Syscalls zu nutzen oder Sockets zu verwenden, um Module zu laden, schreibt Evans.
Google hat die Pflege des Flash-Plugins für Linux übernommen. Dort läuft es bislang in dem Pepper genannten PPAPI, das den Flash Player ebenfalls in eine Sandbox einsperrt(öffnet im neuen Fenster). Adobe hat die Entwicklung des Flash Players für Linux bereits eingestellt.
- Anzeige Hier geht es zum Handbuch für Softwareentwickler bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.