Linuxの新しいsandbox機構「Landlock」 - Qiita

はじめに この記事ではLinuxの新しいsandbox機構であるLandlockのサンプルの使い方を概説します。 詳細で正確な情報は公式のページ https://landlock.io/ やLinux kernelのソースコード中にありますので、必要な場合はそちらを参照してください。 サンドボックスが欲しいわけ 一般的なLinuxディストリビューションとスマートフォンOSの両方を使い、それぞれで様々なアプリを使っている方は大きな違いに気付くと思いますが、前者はユーザーのデータはホームディレクトリと呼ばれる共通のディレクトリに格納され、他のアプリのためのデータを自由に参照できます。それに対し、スマートフォンの場合は各アプリが独自のデータ領域を持ち、他のアプリのデータを参照するには手間のかかるプログラミングとユーザーの同意が必要になります(バイパスできてしまう場合は脆弱性とみなされます)。 L

[programmablekinoko]

一周回ってchrootみたいな感じ...?

[fog-og-frog2]

最近qemuのuser staticモードを扱ってたんだが、似たようなものだろうか？

[iwanofsky]

サンドボックス大事

[teramako]

bubblewrapとどう違っていてどう使い分けるのが良いのかな…

[tmatsuu]

ほう。本家サイトのslideを見る限り、SELinux、seccomp-bpf、namespacesなどと競合（包括）する機構のように読めた。

[Haaaa_N]

機能性は低そうだけど、シンプルでわかりやすくはありそう

[ymzkey]

“sandbox機構”

[defiant]

ほー、こんなんがあるのか

[pascal256]

コンテナじゃないってことはchrootくらいの分離レベル？　ちょっと気になるな

[ya--mada]

landlockの使い方の分かりやすい例。だけど、bashを例に出すのはかえって誤解してしまう（ボクみたいなアホは、）。ブラウザとかjupyterlabとかで例示するのが良いのかな。

[j1nsuke]

確かにchrootっぽい

[cartman0]

wslで使おうとするとメンドイな

[masterq]

"環境変数のLL_FS_ROとLL_FS_RWに読んで良いディレクトリ、読み書きして良いディレクトリを複数指定できます"