eurobsdcon

New security feature "Capsicum"

以前FDT（FreeBSD Daily Topics）において，連載の形式で新しいファイル保護機構「Capsicum」を紹介したことがあります。FreeBSD 9.0-RELEASEに登場する新しいファイル保護機構で，9.1-RELEASEからデフォルトで有効になります。詳しい使い方は次の記事を参考にしてみてください。

• Capsicumを知る - 「⁠ケーパビリティ」という保護機構を知ろう
• Capsicumを知る - ファイルディスクリプタをケーパビリティへ
• Capsicumを知る - アプリ自ら積極的にジェイルに入る
• Capsicumを知る - DACとMAC，双方の特徴を持つ
• Capsicumを知る - 実装がとてもシンプル，普及が容易
• Capsicumを知る - Chromeなど優れた事例，本格活用はこれから
• Capsicumを知る - カーネルの再構築と最初のプログラミング
• Capsicumを知る - ケーパビリティを取得するcap_new(2)
• Capsicumを知る - ケーパビリティを取得するcap_new(2) その2
• Capsicumを知る - ケーパビリティからケーパビリティを作成
• Capsicumを知る - ケーパビリティモードはfork()したプロセスにも継承
• Capsicumを知る - ケーパビリティモードはfork()したプロセスにも継承 その2
• Capsicumを知る - 積極的なセキュリティ強化

「Capsicum」のセキュリテをざっくりと説明すると，リソースにアクセスする必要があるファイルディスクリプタをすべて用意したら，そのあとは「ケーパビリティモード」と呼ばれる保護状態へ移行し，新たにディスクリプタを作成することをできなくする，というものです。ソフトウェアが自ら積極的に保護状態に入っていくことで，想定外のアクセスを規制するわけです。

FreeBSD開発者の多くがすでにCapsicumの有用性を理解しており，今回の開発者会議ではCapsicumの仕組みや有用性に関する議論ではなく，実際にどのライブラリ，コマンド，3rdパーティアプリにCapsicumを適用していくのかといった議論がおこなわれました。

すでにCapsicum対応のコードが入ったコマンドもありますが，本格的な適用はこれからとなります。現在のリリースのタイミングなどを考慮すると，2年後に登場すると予想されるFreeBSD 10.0-RELEASEに同梱されるライブラリやコマンドの多くはデフォルトでCapcisumの機能を取り込んだものになると見られます。これはセキュリティ上大きなアドバンテージとなるもので，サーバ用とやアプライアンスOSとして採用するのに優れた理由のひとつになると見られます。