接下來(lái)我們看一下，業(yè)內(nèi)有一些做得比較好的安全產(chǎn)品，在安全方面沙箱方面如何解決的用戶隔離問(wèn)題。

　　首先我們看一下Docker目前使用哪些機(jī)制，這張圖主要是使用了三個(gè)緯度，有兩個(gè)緯度產(chǎn)生了LXC，使用了Namespaces，Namespaces它可以在多個(gè)方面實(shí)現(xiàn)一定的隔離能力。這個(gè)能力需要在2.6.x以后才能部分開(kāi)始使用。Cgroups機(jī)制保證操作系統(tǒng)資源的合理管理。另外，Docker啟用了AUSF的分層文件系統(tǒng)。傳統(tǒng)文件系統(tǒng)，我們可以認(rèn)為是縱向的文件系統(tǒng)，你寫(xiě)哪個(gè)文件，這個(gè)文件一直到硬件，而AUSF是可以進(jìn)行疊加的。一層層的文件夾疊加，會(huì)映射成一個(gè)相同的文件夾。Docker里面，最下面的image用來(lái)做系統(tǒng)環(huán)境，中間會(huì)做APP，最上面是用戶運(yùn)行期的東西，這些東西會(huì)被Docker封裝成一層層，實(shí)現(xiàn)了類似于集裝箱式的部署能力。

　　對(duì)于Docker來(lái)說(shuō)，對(duì)一個(gè)攻擊者來(lái)說(shuō)，眼中看到的Docker應(yīng)用有哪些東西？從剛才的圖上也是類似的，整個(gè)系統(tǒng)有一個(gè)Docker container，右邊是DockerEngine。如果你在Docker上直接部署C進(jìn)程，下面兩層就是C的程序。對(duì)于惡意用戶來(lái)說(shuō)，如果想得到所在機(jī)器的root權(quán)限，要突破你在Iibc上做的措施，還需要突破kernel中seccomp-bpf，這是kernel提供的一個(gè)安全機(jī)制，允許你定義某一個(gè)進(jìn)程所能進(jìn)行的系統(tǒng)過(guò)濾。第二、第三層攻破，seccomp-bpf可以進(jìn)行額外的安全判斷。你如果把這個(gè)也突破了，其實(shí)這臺(tái)機(jī)器也直接root掉了。

　　接下來(lái)我們看google chrome的沙箱。Chrome使用過(guò)SUID/Namespaces sandbox,這也是對(duì)linx container機(jī)制的利用。使用過(guò)seccomp-legacy。在沒(méi)有seccomp-bpf之前google使用seccomp-legacy。seccomp-legacy使用限制非常大。也同樣使用過(guò)seccomp-bpf。

　　我們剛才看了兩個(gè)業(yè)內(nèi)的安全產(chǎn)品，可以簡(jiǎn)單的總結(jié)一下，對(duì)于沙箱來(lái)說(shuō)，我們有哪些安全機(jī)制可以使用？參考這張圖，首先對(duì)于JVM來(lái)說(shuō)，我們可以用Java security Manager 以及 Classloader機(jī)制。如果是Linux Kernel，那么我們還可以直接利用Kernel Namespaces，Cgroup ，Chroot、umount。這些東西在LXC已經(jīng)封裝好了可以用，而且通常它們?cè)谝黄鹗褂貌趴梢援a(chǎn)生比較好的效果。然后是aufs，2.6才開(kāi)始支持。Seccomp-bpf是3.5，如果版本不夠你就要使用其他方案來(lái)做內(nèi)核層的一些過(guò)濾了。

　　另外一個(gè)角度，對(duì)云計(jì)算上的安全沙箱來(lái)說(shuō)有哪些層次可以做防御？JVM內(nèi)的防御是否有必要？Java的安全沙箱攻破的難度不是很大，它是不是不要了？剛才我們說(shuō)了，安全沙箱沒(méi)有絕對(duì)安全的設(shè)計(jì)，如何在安全上做到盡可能可靠的防護(hù)？多層防御可以有效提高安全防護(hù)能力。

　　第二是進(jìn)層隔離，用于提供安全機(jī)制。

　　第三層要在kernel space里面要有安全過(guò)慮。

　　前面做完了，基于現(xiàn)有的安全機(jī)制來(lái)說(shuō)，至少可以認(rèn)為在目前，可以直接使用的防護(hù)措施就這些了。

　　剛才我們看到了一些安全機(jī)制，接下來(lái)看看飛天安全在沙箱方面使用哪些機(jī)制？其實(shí)前面我們說(shuō)的這些，該用的都用到了。

　　飛天安全沙箱，是這樣的一個(gè)系統(tǒng)。簡(jiǎn)單來(lái)看，這張圖和我們之前的兩張圖有相似的地方。最終的方案，我們方案融合了前兩個(gè)的優(yōu)點(diǎn)。我們這一層的User code可以放到C語(yǔ)言下進(jìn)行，Iibc可以有一些攔截。這個(gè)地方是基于IPC的，所以你在當(dāng)前進(jìn)程要做的破壞或者說(shuō)做的事情，是無(wú)法影響到另一個(gè)進(jìn)程的。最后是Linux container，我們有一層內(nèi)核過(guò)濾機(jī)制來(lái)保證。

　　我們今天的分享還是比較聚焦的，就是講沙箱和安全機(jī)制。我們看了一些業(yè)內(nèi)主要的安全產(chǎn)品實(shí)現(xiàn)，以及它使用的安全機(jī)制。最后針對(duì)一個(gè)具體的案例-飛天安全沙箱，我們了解了該如何實(shí)現(xiàn)融合多種安全機(jī)制來(lái)實(shí)現(xiàn)與著名安全產(chǎn)品相同等級(jí)防護(hù)能力的安全沙箱。