15.3. Introduction

15.3.1. Qu'est-ce qu'un environnement jail?

Les systèmes BSD disposent de l'environnement chroot(2) depuis l'époque de 4.2BSD. L'utilitaire chroot(8) peut être employé pour changer le répertoire racine d'un ensemble de processus, créant ainsi un environnement sécurisé et séparé du reste du système. Les processus créés dans l'environnement chrooté ne peuvent accéder aux fichiers et aux ressources extérieures à cet environnement. Pour cette raison, si un attaquant compromet un service tournant dans un environnement chrooté, cela ne devrait pas lui permettre de compromettre l'intégralité du système. L'utilitaire chroot(8) est parfait pour des tâches simples qui ne demandent pas trop de flexibilité ou de fonctionnalités avancées et complexes. Depuis l'apparition du concept d'environnement chrooté, de nombreuses manières de s'échapper de ces environnements ont été découvertes, et bien que cela ait été corrigé dans les versions récentes du noyau FreeBSD, il est clair que l'environnement chroot(2) n'est pas la solution idéale pour la sécurisation des services. Un nouveau sous-système devait être implémenté.

Ceci est une des raisons principales à l'origine du développement de l'environnement jail.

Les environnements jail améliorent de plusieurs manières le concept d'environnement chroot(2). Dans un environnement chroot(2) traditionnel, les processus sont ne sont limités que dans la partie du système de fichiers à laquelle ils ont accès. Le reste des ressources système (comme l'ensemble des utilisateurs système, les processus en cours d'exécution, ou le réseau) est partagé par les processus de l'environnement chrooté et les processus du système hôte. L'environnement jail étend ce modèle en virtualisant non seulement l'accès au système de fichiers mais également l'ensemble des utilisateurs, la partie réseau du noyau FreeBSD et quelques autres éléments du système. Un ensemble plus complet de contrôles fins pour optimiser l'accès à un environnement jail est décrit dans la Section 15.5.

Un environnement jail est caractérisé par quatre éléments:

• Une arborescence de répertoires — le point d'accès à l'environnement jail. Une fois à l'intérieur de l'environnement jail, un processus ne peut s'échapper hors de cette arborescence. Les traditionnels problèmes de sécurité qui grèvent l'architecture chroot(2) d'origine n'affecteront pas les environnements jail FreeBSD.

• Un nom de machine — le nom de machine qui sera utilisé à l'intérieur de l'environnement jail. Les environnements jails sont principalement utilisés pour l'hébergement de services réseaux, par conséquent choisir un nom évocateur pour chaque environnement peut être d'une grande aide pour l'administrateur système.

• Une adresse IP — elle sera assignée à l'environnement jail et ne peut, en aucun cas, être modifiée pendant toute la durée de vie de l'environnement. L'adresse IP d'un environnement jail est en général un alias d'une interface réseau existante, mais cela n'est pas forcément nécessaire.

• Une commande — le chemin d'accès d'un exécutable à exécuter à l'intérieur de l'environnement jail. Il est relatif au répertoire racine de l'environnement jail, et peut beaucoup varier, en fonction du type d'environnement jail mis en oeuvre.

En dehors de cela les environnements jail peuvent avoir leur propre ensemble d'utilisateurs et leur propre utilisateur root. Naturellement les pouvoirs de l'utilisateur root sont limités à l'environnement jail et, du point de vue du système hôte, l'utilisateur root de l'environnement jail n'est pas un utilisateur omnipotent. De plus, l'utilisateur root d'un environnement jail n'est pas autorisé à effectuer des opérations critiques au niveau du système en dehors de son environnement jail(8). Plus d'information au sujet des possibilités et des restrictions de l'utilisateur root sera donnée dans la Section 15.5 ci-après.