セキュリティマネジャー廃止とクラウドネイティブ型サンドボックス活用

by Kenji Kazumura

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

© 2025 Fujitsu Limited © 2025 Fujitsu Limited セキュリティマネジャーの段階的廃止 Java SE 24 Java SE 17 JEP 411: Deprecate the Security Manager for Removal JEP 486: Permanently Disable the Security Manager Java SE ?? 使用時にワーニング使用時にエラー (ClassNotFoundではない) 削除？? 5

Slide 6

Slide 6 text

© 2025 Fujitsu Limited © 2025 Fujitsu Limited セキュリティマネジャー廃止でどうなるか $ java -Djava.security.manager Hello Error occurred during initialization of VM java.lang.Error: A command line option has attempted to allow or enable the Security Manager. Enabling a Security Manager is not supported. at java.lang.System.initPhase3([email protected]/System.java:1947) 「廃止」という言葉を使っているが、API・クラスファイルが削除されるわけではないセキュリティマネージャーをどうやっても有効にできなくなるということ無理に有効にしようとするとエラーになる 6

Slide 7

Slide 7 text

© 2025 Fujitsu Limited プログラム中のAPI利用も不可 java.lang.System.setSecutiryManager (SecutrityManager sm) java.security.Policy.setPolicy(Policy p) public static Policy java.security.Policy.getPolicy() UnsuppotedOperationExceptionが発生なんの許可も含まれないPolicyオブジェクトを返却などなど 7

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Slide 12

Slide 12 text

Slide 13

Slide 13 text

© 2025 Fujitsu Limited © 2025 Fujitsu Limited Eclipse IDEの使用例(アーキテクチャ制限) Eclipse IDEではAntをライブラリとして使っている Antライブラリ内では回復不能状態になると System.exit()を呼ぶ Eclipse IDEは、Ant呼び出し時に、System.exit()の呼び出しを動作制限 System.setSecurityManager(new AnetSecurityManager(originalSM)); // Antの実行 finally { System.setSecurityManager(originalSM); } 13

Slide 14

Slide 14 text

© 2025 Fujitsu Limited サンドボックスの経緯信頼できないコード(アプレット)への対策コードが実行できることを制限するサーバーサイドでは、通常、信頼できるコードが動いているサーバーサイドにおける危険は、信頼できないコードではなく信頼できるコードに含まれる脆弱性をつく悪意のあるデータが送られてくること JEP 411 / 486 のモチベーション Javaに導入された動機時代を経ると 14

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Slide 18

Slide 18 text

Slide 19

Slide 19 text

Slide 20

Slide 20 text

© 2025 Fujitsu Limited © 2025 Fujitsu Limited Javaポリシーファイルの例 https://docs.oracle.com/javase/jp/21/security/permissions-jdk1.html grant signedBy "sysadmin", codeBase "file:/home/sysadmin/*" { permission java.security.SecurityPermission "Security.insertProvider.*"; permission java.security.SecurityPermission "Security.removeProvider.*"; permission java.security.SecurityPermission "Security.setProperty.*"; }; grant principal javax.security.auth.x500.X500Principal "cn=Alice" { permission java.io.FilePermission "/home/Alice", "read, write"; }; 機能が豊富になると設定が複雑になる誰に許可するか何にどの操作を許可するか 20

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Slide 23

Slide 23 text

Slide 24

Slide 24 text

Slide 25

Slide 25 text

© 2025 Fujitsu Limited © 2025 Fujitsu Limited クラウドネイティブ型のサンドボックス Secure Computing Mode seccomp Linuxカーネルが提供している機能システムコールを制限可能 AppArmor Linuxカーネルが提供している機能使用できるリソースを制限可能 Docker/Kubernetes seccompやAppArmorを利用したサンドボックスを提供 25

Slide 26

Slide 26 text

© 2025 Fujitsu Limited © 2025 Fujitsu Limited seccomp – 防御例 CVE-2022-0185 https://jfrog.com/blog/the-impact-of-cve-2022-0185-linux-kernel-vulnerability-on-popular-kubernetes-engines/ unshareの脆弱性をseccompで防御 26

Slide 27

Slide 27 text

Slide 28

Slide 28 text

© 2025 Fujitsu Limited seccomp システムコールのパラメタ値でフィルタリング可能だが pass-by-valueで渡せる値だけフィル名などの文字列でフィルタリングはできない open(“foo.txt”, O_RDWR)は、実際にはポインタが渡される。 ➔open(0x1234, 2) カーネルモジュールで動作制限・許可するシステムコールを指定する Docker/Kubernetesでも利用可能注意事項 28

Slide 29

Slide 29 text

Slide 30

Slide 30 text

© 2025 Fujitsu Limited © 2025 Fujitsu Limited seccompで利用可能な代表的処理 SCMP_ACT_KILL_PROCESS: SIGSYSでプロセス終了 SCMP_ACT_ERRNO: 呼出しがエラーになる SCMP_ACT_LOG: ログされる(ホワイトリスト作成が可能) SCMP_ACT_ALLOW: 何も影響なし・・・ https://man7.org/linux/man-pages/man3/seccomp_init.3.html 30

Slide 31

Slide 31 text

© 2025 Fujitsu Limited © 2025 Fujitsu Limited seccompのdockerでの利用例 { "defaultAction": "SCMP_ACT_ALLOW", " archMap" : [ { "architectures": "SCMP_ARCH_X86_64" } ], "syscalls": [ { "names" : [ "write" ], "action" : "SCMP_ACT_ERRNO" } ] } $ docker run --security-opt seccomp=write-error.json image 設定ファイル例 (write-error.json) dockerコマンド例 31

Slide 32

Slide 32 text

Slide 33

Slide 33 text

Slide 34

Slide 34 text

© 2025 Fujitsu Limited © 2025 Fujitsu Limited AppArmorのdockerでの利用例 #include profile my-profile { #include # /tmp/specific-dirへの書き込みを禁止 deny /tmp/specific-dir/ rw, } $ docker run --security-opt apparmor=my-profile image 設定ファイル例 (my-profile) dockerコマンド例 34

Slide 35

Slide 35 text

Slide 36

Slide 36 text

Slide 37

Slide 37 text

Slide 38

Slide 38 text

© 2025 Fujitsu Limited © 2025 Fujitsu Limited システムコールパラメタ通知の仕組み UNIX ソケット通知用 FD メモリ open(0x1234, O_RDWR) プロセス seccomp 0x1234: “/tmp/abc” 1 4 メモリ読込み (0x1234) “/tmp/abc” 5 6 判定結果 3 2 通知用FDの情報フィルタープログラム PID,SC種別(open), 引数(0x1234) などの情報 38

Slide 39

Slide 39 text

© 2025 Fujitsu Limited © 2025 Fujitsu Limited フィルタープログラムをJavaで書く seccompのI/Fはシステムコール中心なので、本来はCプログラムで書く最近のJavaでは、FFMでシステムプログラミングが可能 #include ... struct msghdr msg = {0}; msg.msg_iov = &io; if (recvmsg(socfd, &msg, 0) < 0) printf("Failed to receive message¥n"); private static final MemoryLayout MSGHDR_LAYOUT = MemoryLayout.structLayout( ValueLayout.ADDRESS.withName("msg_name"), ValueLayout.JAVA_INT.withName("msg_namelen"), MemoryLayout.paddingLayout(4), ValueLayout.ADDRESS.withName("msg_iov"), ... MemorySegment msg = Arena.global().allocate(MSGHDR_LAYOUT); msg.fill((byte)0); msg.set(ADDRESS, MSGHDR_LAYOUT.byteOffset(PathElement.groupElement("msg_iov")), io); if ( recvmsgHandle.invokeExact(sockfd, msg, 0) < 0) { throw new Exception("Failed to receive message"); Cプログラム pure Javaプログラム https://gist.github.com/kazumura/aae857e754cfbc30283aa688d52f1ac7 39

Slide 40

Slide 40 text

Slide 41

Slide 41 text

© 2025 Fujitsu Limited © 2025 Fujitsu Limited サンドボックス比較フィルター機能コンテナ連携設定難易度 Java 親和性誰に何をどうする Java SM 複雑難しい良好 seccomp 簡単やさしいない AppAromor やや複雑やさしいない seccomp notify やる気次第やる気次第簡単かなり難しいかなりない可設定は簡単だが, フィルタープログラムを自作する必要あり不可設定可不可 41

Slide 42

Slide 42 text

© 2025 Fujitsu Limited © 2025 Fujitsu Limited サマリセキュリティマネージャからの教訓複雑さはセキュリティホールになりがち豊富な機能は想定外の使われ方につながるサーバーサイドでサンドボックスが必要かは議論の余地ありカーネルスペースで動作 Javaプログラムからシステムコールとの紐づけは難しい seccomp/AppAromorは比較的軽量使うならホワイトリスト型難易度・複雑度・セキュリティ要件などから判断 42

Slide 43

Slide 43 text

Slide 44

Slide 44 text