std.security_ext — Linux Capabilities & prctl

import std.security_ext;

Zwei Subsysteme:

• prctl: Prozessbezogene Kernel-Parameter steuern (Name, Dumpability, No-New-Privs, seccomp)
• Capabilities: POSIX-Capabilities lesen und setzen (capget/capset, Kernel-Version 3)

Syscalls: prctl(157), arch_prctl(158), capget(125), capset(126).

→ std.ns · std.sysadmin · std.debug

CAP_BUF_SIZE: 32 Bytes (8 Bytes Header + 2 × 12 Bytes Data).

import std.security_ext;

fn main(): int64 {
    ProcessSetName("myworker");
    // Sichtbar in: ps aux, /proc/self/comm, top
    return 0;
}

import std.security_ext;

fn Sandbox(): int64 {
    // Verhindert setuid-Eskalation nach diesem Punkt — EINWEG!
    var r: int64 := ProcessSetNoNewPrivs();
    if (r < 0) { return r; }
    // Ab hier: keine neuen Privileges via execve(setuid), Capabilities o.ä.
    return 0;
}

import std.security_ext;
import std.alloc;

fn CheckCap(): int64 {
    var r: int64 := CapIsSet(CAP_NET_BIND_SERVICE);
    if (r = 1) {
        // Port < 1024 binden erlaubt
        return 0;
    }
    return -1;  // Keine Berechtigung
}

import std.security_ext;

fn DropRawSockets(): int64 {
    // CAP_NET_RAW entfernen nach der Initialisierung
    return CapDrop(CAP_NET_RAW);
}

import std.security_ext;
import std.alloc;

fn PrintCaps(): void {
    var buf: int64 := alloc(CAP_BUF_SIZE);
    var r: int64 := CapGet(buf);
    if (r < 0) { free(buf, CAP_BUF_SIZE); return; }

    var eff0: int64 := peek32(buf + CAP_EFF_0);  // Capabilities 0..31 als Bitfeld
    var eff1: int64 := peek32(buf + CAP_EFF_1);  // Capabilities 32..63 als Bitfeld

    free(buf, CAP_BUF_SIZE);
}

• no_new_privs ist irreversibel: ProcessSetNoNewPrivs kann nicht zurückgenommen werden — nur vor dem Sandbox-Eintritt setzen.
• CapDrop vs. CapSet: CapDrop ist atomisch für eine einzelne Capability. Für mehrere: CapGet → Bits löschen → CapSet.
• Capability-Vererbung: inheritable-Capabilities werden nur dann an execve()-Kinder vererbt wenn auch das neue Programm sie in seinem erlaubten Set hat (Dateicapability).
• Core-Dump-Sicherheit: ProcessSetDumpable(0) verhindert dass ein Core-Dump Schlüsselmaterial aus dem Speicher preisgibt. Für Security-sensitive Prozesse empfohlen.
• ArchGetFs: TLS-Implementierungen in Lyx können den FS-Zeiger des aktuellen Threads damit auslesen — für low-level Thread-Local-Storage ohne libc.

Letzte Aktualisierung: 2026-06-06