Landlock（非特権サンドボックス）

なぜ「非特権」でアクセス制御が必要なのか

Linux Security Module（LSM） はSELinuxやAppArmorのように強力ですが、いずれもポリシーの設定・適用には管理者権限が要ります。一方でブラウザのレンダラプロセスや圧縮解凍ライブラリのような、信頼できない入力を扱うプログラムほど、実行時に「自分自身の権限を落としたい」ニーズがあります。しかし従来のLSMは管理者がホスト全体へ適用するもので、一般ユーザーが起動するアプリケーションが自発的に使える設計ではありませんでした。

Landlock はこの隙間を埋めるLSMです。カーネル5.13で導入され、root権限もCAP_SYS_ADMINのような強力なケーパビリティも持たない非特権プロセスが、landlock_create_ruleset・landlock_add_rule・landlock_restrict_self という3つのシステムコールだけでルールセットを組み立て、自分自身（と以降のfork/execve先）に適用できます。管理者が敷く全体ポリシーではなく、アプリケーション開発者がコードに埋め込む自己防衛策という位置づけです。

ルールセットとホワイトリスト方式

Landlockのモデルは一貫してホワイトリストです。まずlandlock_create_rulesetでアクセス権の集合を持つ空のルールセットを作ります。この時点で「今後読み書きファイルシステム操作をどこまで扱うか」というアクセス権のビットマスク（handled_access_fsなど）を宣言します。宣言しなかった権限種別は、以降ルールを足しても制御対象になりません。

次にlandlock_add_ruleを、制限したいファイル階層の数だけ繰り返し呼びます。各呼び出しは「このパス（とその配下）に対して、この権限セットを許可する」というルールを1本追加します。たとえば次のような擬似コードになります。

struct landlock_ruleset_attr attr = {
    .handled_access_fs = LANDLOCK_ACCESS_FS_READ_FILE
                       | LANDLOCK_ACCESS_FS_WRITE_FILE
                       | LANDLOCK_ACCESS_FS_EXECUTE,
};
int ruleset_fd = landlock_create_ruleset(&attr, sizeof(attr), 0);

struct landlock_path_beneath_attr path_beneath = {
    .allowed_access = LANDLOCK_ACCESS_FS_READ_FILE,
    .parent_fd = open("/etc", O_PATH),
};
landlock_add_rule(ruleset_fd, LANDLOCK_RULE_PATH_BENEATH,
                   &path_beneath, 0);

ここで重要なのは、handled_access_fsで宣言した権限のうち、どのパスにも許可ルールがない権限はすべて拒否されるという点です。「危険な操作だけ禁止する」ブラックリストではなく、「宣言した権限種別は原則拒否、明示的に許可したパス配下だけ通す」という設計だからこそ、未知の抜け道が生まれにくくなっています。

最後にlandlock_restrict_selfを呼ぶと、そのルールセットが呼び出しスレッドに適用されます。この瞬間から、宣言した権限種別に関するファイルアクセスはルールセットの許可リストでしか通らなくなります。

seccompとの違い：システムコール単位かリソース単位か

seccomp とLandlockはどちらも非特権プロセスが自身の攻撃面を削る仕組みですが、判定の粒度が根本的に異なります。

seccomp はBPFフィルタに渡されるseccomp_dataが「システムコール番号・引数の生の値」に限られるため、openの引数に渡されたパス文字列の中身を見て可否を決めることができません。フィルタが読めるのはレジスタの値だけで、ポインタが指す先のメモリ内容まで安全に検査するとTOCTOU（time-of-check to time-of-use）の問題が生じるからです。

Landlockはこの制約を迂回するのではなく、そもそも別の層で判定します。カーネルがパス解決やファイルオープンを実際に処理する経路にフックし、「このinodeはどのルールセットのどの許可に該当するか」をファイルシステムの内部データ構造の上で判定します。同じopenというシステムコールでも、/etc/passwdへのアクセスは拒否、/tmp/work配下は許可、というリソースに依存した判定ができるのは、seccompが原理的にできないことです。

段階的な権限縮小という設計

Landlockが想定する典型的な使い方は、プロセスの起動直後に必要な権限をすべて洗い出し、それ以外を即座に閉じるという段階的縮小です。設定ファイルを読み込む、ログファイルを開く、ソケットを張るといった初期化作業を終えたら、以後アクセスする必要があるパスの集合はほぼ確定します。そこでlandlock_restrict_selfを呼び、以降の実行区間ではその集合の外に一切出られないようにします。

カーネルのバージョンによってサポートされるアクセス権の種類は増えており、landlock_create_rulesetにはカーネルが対応するABIバージョンを問い合わせる仕組みもあります。アプリケーション側は「利用可能な範囲で最大限絞り、対応していない権限種別は諦めて動作を継続する」というグレースフルデグラデーションを組み込むのが実務上の定石です。全か無かではなく、動いているカーネルの能力に応じて絞れるだけ絞る、という漸進的な設計がLandlockの思想に一貫しています。

まとめ