Secure computing mode

この項目「Secure computing mode」は翻訳されたばかりのものです。不自然あるいは曖昧な表現などが含まれる可能性があり、このままでは読みづらいかもしれません。（原文：04:49, 27 March 2023） 修正、加筆に協力し、現在の表現をより自然な表現にして下さる方を求めています。ノートページや履歴も参照してください。（2023年4月）

この記事はカテゴライズされていないか、不十分です。 適切なカテゴリを追加して、記事内容を向上させてください。（2023年4月）

この記事は更新が必要とされています。 この記事には古い情報が掲載されています。編集の際に新しい情報を記事に反映させてください。反映後、このタグは除去してください。（2024年4月）

secure computing mode (略 seccomp) は、Linuxカーネル における コンピュータセキュリティ機構の一つである。

解説

seccomp は、プロセスが危険なシステムコールを呼び出せない「安全」な状態に不可逆的に移行させる。ただし、exit(), sigreturn(), 既に開いているファイルディスクリプタに対する read()/ write() を除く。

それ以外のシステムコールが実行されると、カーネルはそのイベントをログに記録するだけでシステムコールを実行しないか、SIGKILL もしくは SIGSYS ^{[1] [2]} でプロセスを強制終了させる。

すなわち、seccomp はシステムリソースの仮想化を行うのではなく、プロセスをリソースから完全に独立させる。

seccomp は 引数に PR_SET_SECCMP を指定した prctl(2) システムコールによって実現される。または Linuxカーネル 3.17 以降 ^[3] では、seccomp(2) システムコール ^[4] が使われる。

seccomp-bpf は secomp の拡張機能である ^[5]。

これは以下のようなソフトウェア等で利用されている：

• OpenSSH^[6]
• vsftpd（英語版）
• Google Chrome/Chromium ウェブブラウザ (ChromeOS oyobi Linux) ^[7]

seccomp-bpf は古くなった古い systrace ^{[注釈 1]} と同等の機能を実現するが、柔軟性とパフォーマンスが良くなる。

歴史

seccomp は、2005年1月に Andrea Arcangeli によって最初のバージョンが開発された。 これは、パブリックグリッド・コンピューティングで使用するために開発された 当時は、信頼されていない compute-bound を安全に実行する手段として意図されていた。

seccomp は、2005年3月8日にリリースされたカーネルバージョン 2.6.12 の Linuxカーネルメインライン にマージされた^[8]。

seccomp or seccomp-bpf を利用するソフトウェア

• Android は、Android 8.0 Oreo 以降において、zygote において seccomp-bpf フィルタを利用する ^[9]
• systemd の サンドボックス オプションは、seccomp に基づいている。^[10]
• QEMU (Quick EMUlator) は、KVM と組み合わせた最新の仮想化のコアコンポーネントにおいて、--sandbox パラメータで seccomp を利用する ^{[11] [要検証 – ノート]}
• Docker は、隔離されたコンテナ内部でアプリケーションを実行できるようにするソフトウェアである。Docker は、 --security-opt パラメータを利用して、seccomp プロファイルをコンテナに関連付け可能である。
• Arcangeli の CPUShare は、しばらくの間 seccomp を使う既知の唯一のソフトウェアであった^{[訳語疑問点] [12]}。 2009年2月に執筆されｒた, Linus Torvalds は seccomp が実際 何^{[訳語疑問点]}によって利用されているかどうかについて疑問を表明している.^[13]。 しかし、Google のエンジニアは、Google が Google Chromeウェブブラウザを サンドボックス 化するために、seccomp を利用することを検討していると解答している ^[14][15]。
• Firejail は オープンソースの Linux サンドボックスプログラムである。Firejail は、Linux 名前空間（英語版）、Seccomp 及び その他のカーネルレベルのセキュリティ機能を、Linuxのサンドボックス化 および Wine アプリケーションのために利用する^{[訳語疑問点] [16]}。
• Chrome はバージョン 20 の時点で、Adobe Flash Playerをサンドボックス化するのに seccomp-bpf を利用している^{[要検証 – ノート] [17]}
• Chrome はバージョン 23 の時点で、レンダラーをサンドボックス化するのに seccomp-bpf を利用している^[18]。
• Snap はアプリケーションサンドボックスの形状を指定する。そのために snapd が seccomp, AppArmor、その他のセキュリティ構造に変換するインターフェイスを利用する^{[訳語疑問点] [19]}。
• vsftpd（英語版） はバージョン 3.0.0 の時点で、seccomp-bpf サンドボックスを利用している ^[20]。
• OpenSSH は バージョン 6.0 以降で、seccomp-bpf をサポートしている ^[6]。
• Mbox は seccomp-bpf と共に ptrace を使う。これにより、ptrace 単体よりも少ないオーバーヘッドで安全なサンドボックスを作成する^{[21] [要検証 – ノート]} 。
• LXD : コンテナ用の Ubuntu の "ハイパーバイザ" ^{[22][23] [要検証 – ノート]} 。
• Firefox および Firefox OS は seccomp-bpf を利用している ^{[25][要検証 – ノート] [27]}。
• Tor は、バージョン 0.2.5.1-alpha 以降で、seccomp をサポートしている ^[28]。
• Dropbox が開発した JPEG 画像を圧縮するツール Lepton はseccomp を利用している^[29]。
• Kafel は、読み取り可能なポリシー^{[訳語疑問点]} を seccomp-bpf の バイトコード に変換する 構成言語^{[訳語疑問点][30]}。
• Subgraph OS（英語版） は seccomp-bpf を利用している ^[31][32] 。
• Flatpak は seccomp を利用して プロセス分離（英語版） を行う ^{[33] [要検証 – ノート]} 。
• Bubblewrap は Flatpak から開発された軽量サンドボックスアプリケーションである ^{[34] [要検証 – ノート]} 。
• minijail^[35] プロセス分離のために seccomp を利用する ^{[36][要検証 – ノート]} 。
• SydBox は、ptrace サンドボックス化のランタイムとセキュリティを向上させるために seccomp-bpf を利用する ^[37] 。 ptrace は、Exherbo Linux ディストリビューションにおいて、パッケージビルドをサンドボックス化するのに使われる ^{[要検証 – ノート]} 。
• File (ファイルタイプを決定する Unix プログラム) は、seccomp を利用してランタイム環境を制限する ^[38] 。
• Zathura（英語版） (最小限のドキュメントビューワ) は、seccomp フィルタを利用して、異なるサンドボックスモードを実装している ^[39]。
• Gnome Tracker (Gnome Desktop Environment 環境用のインデキシングおよびプレビューアプリケーション) は、seccomp を利用して、メディアファイルの解析脆弱性の 自動的な悪用^{[訳語疑問点]} を防止する ^[40] 。

脚注