(Translated by https://www.hiragana.jp/)
chroot - Wikipedia
Wikipedia

chroot

chrootとは、UNIXオペレーティングシステム (OS) において、現在げんざいのプロセスとその子こプロセス群ぐんに対たいしてルートディレクトリを変更へんこうする操作そうさである。ルートディレクトリを別べつのディレクトリに変更へんこうされたプロセスは、その範囲はんい外がいのファイルにはアクセスできなくなるため、この操作そうさをchroot監獄かんごくや模擬もぎルートなどとも呼よぶ。"chroot" は chroot(2) システムコールおよび chroot(8) コマンドを意味いみする。

chroot システムコールは、Unix Version 7 (1979) に新しん機能きのうとして加くわえられ、1982年ねん3月18日にち（4.2BSDリリースの17ヶ月かげつ前まえ）、ビル・ジョイがインストールおよびビルドシステムのテスト用ようにBSDに導入どうにゅうしたのが起源きげんである。

用途ようと

編集へんしゅう

chroot はOSの仮想かそう化かされ分離ぶんりされたコピーを作つくるのに使つかわれる。これには、以下いかのような用途ようとがある。

テストと開発かいはつ
実際じっさいに使用しよう中ちゅうのシステムで評価ひょうかするには危険きけんと思おもわれる開発かいはつ中ちゅうソフトウェアのテスト環境かんきょう構築こうちくに chroot を使つかう。
依存いぞん関係かんけい制御せいぎょ
ソフトウェアの開発かいはつにおいて、ビルドに最低限さいていげん必要ひつようなものだけを用意よういした環境かんきょうに chroot して実施じっしすることもできる。これにより、意図いとしないライブラリがリンクされてしまうのを防ふせぐことができる。
互換ごかん性せい
古ふるいソフトウェアや異ことなるABIを使つかっているソフトウェアは、場合ばあいによっては chroot した環境かんきょうで実行じっこうする必要ひつようがある。これは例たとえば、動的どうてきリンクされるライブラリが同おなじ名前なまえで異ことなる内容ないようを必要ひつようとされる場合ばあいがあるためである（名前なまえ空間くうかんの衝突しょうとつの回避かいひ）。
復旧ふっきゅう
ブートできなくなったシステムの復旧ふっきゅうにおいて、別べつのブート媒体ばいたい（Live CD など）で立たち上あげておいて、ダメージのある環境かんきょうに chroot することがある。UNIXのインストールでも、最初さいしょはインストール媒体ばいたいで立たち上あげておいて、最小限さいしょうげんインストールした時点じてんで chroot でディスクをルートディレクトリとすることもある。
権限けんげん不要ふようの仮想かそう化か(一部いちぶの限定げんてい的てきなシステム)
仮想かそう化かのためには通常つうじょう、rootが必要ひつようだがrootが取とれない場合ばあいなどに利用りようされる。主おもにAndroidアプリのUserLandやtermuxはこの技術ぎじゅつを採用さいようしている。
特権とっけん分離ぶんり
chroot されたプロセスのオープンしているファイル記述きじゅつ子こ（ファイル、パイプ、ネットワーク接続せつぞくなど）はそのまま保持ほじされるので、chroot したディレクトリ内ないに作業さぎょう用ようファイルを残のこす必要ひつようがなく、chroot監獄かんごくの設計せっけいが簡略かんりゃく化かされる。これを応用おうようして、特権とっけんプログラムの脆弱ぜいじゃく性せいのある部分ぶぶんだけを chroot して実行じっこうすることで不正ふせいなファイルアクセスを防ふせぐことができる。しかし、chroot したとしてもシステムコールができなくなるわけでもなく、ブロックデバイスへのアクセスを拒否きょひするわけでもないため、特権とっけんを得えた攻撃こうげき者しゃにはあまり効果こうかがない。
ハニーポット
chroot はネットワークサービスを実行じっこうする実じつシステムのシミュレートにも使つかわれる。しかし、chroot はシステムコールを仮想かそう化かしないし、ブロックデバイスや仮想かそうファイルシステム（Linux の /proc や /sys）へのアクセスをブロックしないので、ハニーポットに捉われた攻撃こうげき者しゃがハニーポットであることに気きづく可能かのう性せいはある。

制限せいげん

編集へんしゅう
  • プログラムは一般いっぱんに起動きどうされたときに、一時いちじファイル、設定せっていファイル、スペシャルファイル、共有きょうゆうライブラリなどが特定とくていの位置いち（ディレクトリ）にあることを期待きたいしている。chroot されたプログラムがうまく起動きどうするには、chroot したディレクトリにそれらのファイルが正ただしく配置はいちされていなければならない。このため chroot を汎用はんようのサンドボックス機構きこうとして使つかうのは難むずかしい。
  • chroot を実行じっこうできるのはスーパーユーザーだけである。これは、精巧せいこうに作つくられたchroot監獄かんごく（例たとえば、ニセの /etc/passwd ファイルが置おいてある）の中なかにユーザーが setuid プログラムを置おけないようにするためである。またこのため、特権とっけんのないサンドボックス機構きこう（例たとえば、一般いっぱんユーザーがインターネットからダウンロードした信頼しんらいできないアプリケーションをテストしてみるなど）としてchrootを使つかうこともできない。
  • chroot 機構きこうは特権とっけんユーザーによる意図いと的てきな改変かいへんに対たいする防御ぼうぎょとなることを意図いとしていない。chroot されたスーパーユーザーのプロセスは特権とっけんを制限せいげんされない。多おおくのシステムでは chroot のコンテキストは正まさしくスタックされず、特権とっけんを持もったまま2回かい目めのchrootをするとchrootから抜ぬけ出だせる[1]。そのため、chroot したプログラムは特権とっけんを放棄ほうきしてから処理しょりを続行ぞっこうすべきである。
  • chroot 機構きこう自体じたいは、入出力にゅうしゅつりょく、帯域たいいき幅はば、ディスク容量ようりょう、CPU時間じかんなどのリソースを制限せいげんするわけではなく、これらを行おこなうにはOSレベルの仮想かそう化かが必要ひつよう。多おおくのUNIXは完全かんぜんなファイルシステム指向しこうではないため、ネットワーキングやプロセス制御せいぎょなどは chroot されたプログラムからもシステムコール経由けいゆで利用りよう可能かのうである。

一部いちぶのUNIXはこれらの制限せいげんの一部いちぶに対処たいしょした拡張かくちょうを用意よういしている（OSレベルの仮想かそう化かと呼よばれる）。

特筆とくひつすべき応用おうよう

編集へんしゅう
  • メール転送てんそうエージェント Postfix は、ヘルパープログラムを個々ここに chroot してパイプライン化かして使用しようする。
  • Debian と Ubuntu はパッケージのビルドにおいて chroot を多用たようし、パッケージ間あいだの意図いとしない依存いぞん関係かんけいを洗あらい出だす。SUSE でも同様どうようの手法しゅほうを build プログラム内ないで行おこなう。
  • FTPサーバの多おおくは、信頼しんらいできないFTPクライアントのサンドボックス機構きこうとして chroot を使用しようする。コネクションに対応たいおうしてプロセスをforkし、子こプロセスを chroot する（起動きどう時じのプログラムに chroot しているコードを含ふくめないようにするため、子こプロセスで chroot させる）。
  • OpenSSHデーモンで特権とっけん分離ぶんりをONに設定せっていしていると、各かくクライアントの認証にんしょう前まえのトラフィックを処理しょりする際さいに非ひ特権とっけんヘルパープロセスを空そらのディレクトリにchrootして実行じっこうさせる。また、サンドボックスSFTPおよびシェルのセッションもchrootして実行じっこうする（version 4.9p1 以降いこう）[2]。
  • Googleはアプリケーションをchroot内ないで動作どうささせている[3]。親おやプロセスのrootパーティションの変更へんこうがアプリケーションの動作どうさに影響えいきょうを与あたえない。

fakechroot

編集へんしゅう

chroot は root 権限けんげんが必要ひつようだが、LD_PRELOAD を使つかい、open() などにフックをかけて root 権限けんげんなしで chroot と同等どうとうのことを行おこなう fakechroot がある[4]。

関連かんれん項目こうもく

編集へんしゅう

脚注きゃくちゅう

編集へんしゅう
  1. ^ How to break out of a chroot() jail
  2. ^ “sshd_config(5) manual page” (2008年ねん4月がつ5日にち). 2008年ねん4月がつ27日にち閲覧えつらん。
  3. ^ “Live upgrading many thousand of servers from an ancient Red Hat distribution to a 10 year newer Debian based one.” (2013年ねん). 2018年ねん8月がつ13日にち閲覧えつらん。
  4. ^ fakechroot/fakechroot - GitHub

参考さんこう文献ぶんけん

編集へんしゅう
  • chroot(2) FreeBSD版ばんシステムコールのmanページ
  • chroot(2) Linux版ばんシステムコールのmanページ (JM Project)
  • chroot(8) FreeBSD版ばんコマンドのmanページ（英語えいご）
  • chroot(1L) GNU版ばんコマンドのmanページ (JM Project)
  • chroot(1M) コマンド Solaris 10 Reference Manual Collection（英語えいご）
  • chroot(1M) コマンド man page（HP-UX リファレンス）
「https://ja.wikipedia.org/w/index.php?title=Chroot&oldid=91473029」から取得しゅとく