牢獄の作り方

Apache

世界でもっともユーザー数の多いHTTP Daemonです。しかしながら、時々致命的なバグが見付かることがあるのでjailに隔離することが望ましいでしょう。

牢獄(Jail)とは？

jailとは、FreeBSD 4.x系列よりFreeBSDに加わった機能で、 Chrootし、かつProcess(*1)をその環境に閉じ込めるという機能があります。

牢獄の内部のProcessは基本的に牢獄の内部にしか影響を及ぼす事はできません。
そのため、例えば、牢獄の内部でSuper User権限を奪ってもマシンをshutdownしたりすることやホストマシンの/var/logを書き換えたりする事はできません。
ただし、special device node(*2)を通じて悪さをする事はできるので不要なspecial device nodeは作らないように気をつけましょう。
また、見落としがちですが、牢獄内部へはいくらでも悪さをできるので牢獄内部で Super User権限を取られると牢獄内部のファイルの改変などをされる恐れは十分にありえます。

これは『FirewallでWebSiteの改変は防げますか？』という話題に近いですね(^^;; Apache自体にバグがあればFirewallが役に立たないのは自明だと思うんですが...

(*1)Process: 実行中のプログラムの事。
(*2)special device node: /dev以下にあるファイルと思って頂ければ...(^^;;