самая нересурсоемкая песочница

lxc

Присоединяюсь, lxc прекрасно подходит для этой задачи

оно умеет именно «песочницу», а не виртуальные машины? в openvz получалась сильная накладка на создании гостей, потому что их много нужно и быстро

вы бы рискнули на боевом сервере под lxc под рутом запустить зловредный бинарник?

А зачем под рутом-то?

а кто что может сказать про вот это: https://code.launchpad.net/~stgraber/ junk/sandbox как я понимаю, это утилита на базе lxc, которая обертывает его до «песочницы»

ну, предположим пользовательский код получил рута

Если делать такие предположения, то лучше сразу запускать код в qemu.

nbdarvin> Единственное, что им необходимо обеспечить - стандартный ввод/вывод. Запись в файл/операции с сетью нужно отрубить, возможность испортить чужую память - тоже.

selinux

Да, вполне. LXC-шный рут никакого отношения к руту «гипервизора» не имеет

Получить рута можно либо через баг в SUID программе, либо через баг ядра. Поскольку требуется только лишь делать тривиальный ввод-вывод во внешний мир, внутри песочницы SUID программы не нужны, и их там не будет. Значит, получить рута можно только через баг ядра. А раз мы не полагаемся на надёжность ядра в целом, то полагаться на надёжность отдельной его подсистемы (которая контейнеры обслуживает) тоже нет смысла. Поэтому, как мне кажется, вопрос о руте не имеет смысла в таком контексте.

Либо мы считаем ядро надёжным, и значит программа не получит никакого рута — ни LXC-шного, ни внешнего. Либо не считаем надежным, и тогда его надо тоже выносить в песочницу, т.е. использовать что-то типа qemu.

забавно. только что запустил из-под пользователя virsh console в lxc виртуалке с файловой системой хоста, создал файл в каталоге /usr. где я неправ?

хм, а как там с управлением ресурсами? память, диск, процессор?

Для этого неплохо бы подошел Jail, но это уже FreeBSD.