امنیت Linux BPF LSM: کنترل دسترسی اجباری در سطح هسته برای درگاه‌های VPN

حفاظت از درگاه‌های شبکه خصوصی مجازی (VPN) پرظرفیت در برابر خطرات نفوذ به سیستم‌عامل، جابه‌جایی جانبی مهاجم و ارتقای سطح دسترسی، مستلزم پیاده‌سازی لایه‌های پدافندی عمیق‌تر از کنترل دسترسی اختیاری (DAC) متداول است. سازوکارهای سنتی لینوکس بر پایه شناسه کاربری (UID)، گروه‌ها (GID) و قابلیت‌های POSIX بنا شده‌اند؛ در نتیجه، چنانچه مهاجمی در یک کانتینر همسایه یا فرآیندی موازی روی سرور به سطح دسترسی root برسد، این دیواره‌های معمول کارایی خود را از دست می‌دهند.

در گذشته، مهندسان امنیت به چارچوب‌های کنترل دسترسی اجباری (MAC) همچون SELinux و AppArmor روی می‌آوردند. با وجود توانمندی در اعمال خط‌مشی‌های سخت‌گیرانه، این سامانه‌ها با چالش‌های اجرایی سنگینی همراه هستند: پیکربندی‌های ایستا، قواعد پیچیده تعریف حوزه‌ها و نیاز مکرر به کامپایل مجدد سیاست‌ها یا راه‌اندازی دوباره سرویس‌ها هنگام هرگونه تغییر.

با معرفی فناوری BPF LSM در هسته لینوکس ۵٫۷ (ترکیب eBPF با ماژول‌های امنیتی لینوکس)، الگوی نوینی در امنیت پدید آمد. پیوند دادن قلاب‌های امنیتی درون هسته با توانمندی و ایمنی برنامه‌نویسی eBPF، به متخصصان این امکان را می‌دهد که قواعد پویای کنترل دسترسی اجباری را در سطح نانوثانیه بر فرآیندهای VPN پیاده کنند؛ آن هم بدون دستکاری کدهای نرم‌افزار یا ایجاد وقفه در عملکرد تونل‌های فعال.

تحلیل آسیب‌پذیری‌ها: محدودیت‌های جداسازی معمولی در سیستم‌عامل

سرورهای متمرکزکننده VPN و پراکسی‌های لبه شبکه همواره دو دارایی به شدت حساس را میزبانی می‌کنند: ترافیک خام رمزگشایی‌شده و کلیدهای رمزنگاری دائمی (نظیر کلیدهای پایدار Curve25519 در وایرگارد).

در محیط‌های ابری چندمستاجره، سرورها علاوه بر موتور VPN، سرویس‌های جانبی فراوانی چون ابزارهای جمع‌آوری داده‌های تله‌متری و سامانه‌های هماهنگ‌سازی را میزبانی می‌کنند. مدل سنتی سیستم‌عامل مسیرهای نفوذ گوناگونی را به جا می‌گذارد:

[مسیرهای بالقوه نفوذ فرآیندهای آلوده به بخش‌های حساس VPN]
فرآیند نفوذیافته (با دسترسی دست‌یافته root UID 0)
        │
        ├─► مسیر ۱: ptrace() / process_vm_readv() ──► استخراج کلیدهای رمزنگاری از حافظه
        │
        ├─► مسیر ۲: دسترسی به /proc/$PID/mem ────────► خواندن داده‌های سشن‌های رمزگذاری
        │
        ├─► مسیر ۳: تصاحب پورت با SO_REUSEPORT ──────► شنود بسته‌های آغازین ارتباط UDP
        │
        └─► مسیر ۴: sendmsg() با ساختار SCM_RIGHTS ──► انتقال مخفیانه سوکت به خارج از namespace

۱. وارسی حافظه از طریق Ptrace: چنانچه فرآیندی به امتیاز CAP_SYS_PTRACE یا سطح root برسد، می‌تواند به فرآیند VPN متصل شده یا مسیر /proc/$PID/mem را بخواند و کلیدهای امنیتی را مستقیماً از حافظه رم بیرون بکشد. ۲. سرقت سوکت و جعل پورت: با استفاده از شناسه‌های SO_REUSEADDR یا SO_REUSEPORT، یک فرآیند مخرب محلی ممکن است تلاش کند به درگاه UDP مربوط به VPN متصل شود و بسته‌های دست‌تکانی اولیه را سرقت نماید. ۳. جابه‌جایی غیرمجاز توصیف‌کننده‌ها: توصیف‌کننده‌های فایل تونل (کارت‌های مجازی TUN/TAP یا سوکت‌های خام) ممکن است از طریق سوکت‌های یونیکس (SCM_RIGHTS) میان فرآیندها دست‌به‌دست شده و حصار فضاهای نام شبکه (network namespaces) را نقض کنند.

ساختار درونی چارچوب BPF LSM

چارچوب امنیتی لینوکس (LSM) دارای نقاط تقاطع متعددی موسوم به قلاب (hook) است که در بخش‌های حساس هسته تعبیه شده‌اند: مدیریت چرخه حیات فرآیندها، خواندن و نوشتن فایل‌ها و تعاملات شبکه.

پیش از ابداع BPF LSM، این نقاط تقاطع تنها به ماژول‌های کامپایل‌شده در هسته اختصاص داشتند. با ارائه نوع برنامه BPF_PROG_TYPE_LSM، هسته به کدهای ارزیابی‌شده eBPF اجازه می‌دهد مستقیماً در این نقاط قرار گیرند.

[گردش کار تصمیم‌گیری امنیتی در BPF LSM]
اقدام ورودی: اجرای دستور sys_ptrace(PTRACE_ATTACH, vpn_pid)
                                │
                                ▼
                        زیرسیستم‌های هسته
                                │
                                ▼
                 قلاب امنیتی LSM: security_ptrace_access_check()
                                │
                 ┌──────────────┴──────────────┐
                 ▼                             ▼
        ماژول‌های سنتی LSM             موتور پویا BPF LSM
       (SELinux / AppArmor)          (ارزیاب امنیتی eBPF و JIT)
                 │                             │
                 ▼                             ▼
         [تطبیق برچسب‌ها]             [منطق برنامه‌نویسی eBPF]
                 │                    • بررسی شماره Inode فایل اجرایی
                 │                    • تایید هویت ساختار Cgroup
                 │                    • جست‌وجو در جداول eBPF Map
                 │                             │
                 └──────────────┬──────────────┘
                                │
            بازگشت ۰ (مجاز) یا کدهای خطا مانند -EPERM (مسدودسازی)

هر زمان فعالیتی یکی از قلاب‌های LSM (مانند security_socket_bind یا security_file_open) را فعال کند، هسته فرآیند را موقتاً نگه داشته، کنترل را به کد eBPF واگذار نموده و منتظر پاسخ می‌ماند. بازگرداندن مقدار 0 به منزله تایید درخواست است. اما اگر مقدار منفی (نظیر -EPERM) بازگردد، هسته فوراً عملیات را متوقف کرده و خطای عدم دسترسی صادر می‌نماید.

برخلاف ابزارهای گزارش‌گیری ایستا، کدهای BPF LSM تصمیمات امنیتی پیشگیرانه را در کسری از زمان و با تاخیری کمتر از ۱۵ نانوثانیه در هر اجرا پیاده‌سازی می‌کنند.

پیاده‌سازی کاربردی: نمونه کد BPF LSM

کد زیر به زبان C برای eBPF دو راهکار دفاعی مهم را محقق می‌سازد: اختصاص پورت UDP به فایل معتبر VPN و بستن راه هرگونه بازرسی حافظه:

#include <vmlinux.h>
#include <bpf/bpf_helpers.h>
#include <bpf/bpf_tracing.h>
#include <bpf/bpf_core_read.h>

char LICENSE[] SEC("license") = "GPL";

#define EPERM 1
#define VPN_LISTENING_PORT 51820
#define VPN_BINARY_INODE 14829104

/* جدول نگاشت eBPF برای نگهداری شناسه‌های مجاز کاری فرآیند VPN */
struct {
    __uint(type, BPF_MAP_TYPE_HASH);
    __uint(max_entries, 64);
    __type(key, u32);
    __type(value, u8);
} authorized_vpn_pids SEC(".maps");

/* راهکار ۱: ممانعت از باز شدن پورت UDP توسط فایل‌های اجرایی متفرقه */
SEC("lsm/socket_bind")
int BPF_PROG(restrict_vpn_bind, struct socket *sock, struct sockaddr *address, int addrlen)
{
    struct sockaddr_in *addr = (struct sockaddr_in *)address;
    
    if (addr->sin_family == AF_INET) {
        u16 port = __builtin_bswap16(addr->sin_port);
        
        if (port == VPN_LISTENING_PORT) {
            struct task_struct *task = (struct task_struct *)bpf_get_current_task();
            u64 inode = BPF_CORE_READ(task, mm, exe_file, f_inode, i_ino);
            
            /* در صورت عدم تطابق شناسه Inode با فایل اصلی، اتصال پورت رد می‌شود */
            if (inode != VPN_BINARY_INODE) {
                bpf_printk("BPF LSM: فرآیند غیرمجاز (inode %lu) برای پورت %d مسدود شد\n", 
                           inode, port);
                return -EPERM;
            }
        }
    }
    return 0;
}

/* راهکار ۲: ایمن‌سازی حافظه درگاه در برابر فرآیندهای اشکال‌زدا و ptrace */
SEC("lsm/ptrace_access_check")
int BPF_PROG(protect_vpn_memory, struct task_struct *child, unsigned int mode)
{
    u32 target_pid = BPF_CORE_READ(child, tgid);
    
    /* بررسی اینکه آیا فرآیند هدف جزو فرآیندهای ثبت‌شده VPN است */
    u8 *is_vpn = bpf_map_lookup_elem(&authorized_vpn_pids, &target_pid);
    if (is_vpn) {
        struct task_struct *caller = (struct task_struct *)bpf_get_current_task();
        u32 caller_pid = BPF_CORE_READ(caller, tgid);
        
        /* ممانعت کامل از مداخله بیرونی حتی در صورت دارا بودن سطح کاربری root */
        if (caller_pid != target_pid) {
            bpf_printk("BPF LSM: دفاع از پردازش %d در برابر ptrace از طرف شناسه %d\n", 
                       target_pid, caller_pid);
            return -EPERM;
        }
    }
    return 0;
}

این کد کامپایل‌شده پس از قرار گرفتن در هسته، دیواره‌ای نفوذناپذیر می‌آفریند که اجازه سرقت کلیدهای امنیتی را حتی به فرآیندهای نفوذگر با اختیارات ریشه نیز نمی‌دهد.

ارزیابی و مقایسه رویکردهای مهار دسترسی

بررسی تمایزهای ساختاری BPF LSM با راهکارهای قدیمی، چرایی حرکت زیرساخت‌های مدرن به این سمت را نشان می‌دهد:

انطباق‌پذیری کامل با محیط و امکان تغییر بی‌وقفه قوانین به کمک نقشه‌های eBPF، معضلات نگهداری و دشواری‌های مدیریتی گذشته را به طور کامل مرتفع ساخته است.

بهره‌برداری عملیاتی در شبکه جهانی RiceGuard Anycast

سامانه جامع RiceGuard خط‌مشی‌های پیشرفته BPF LSM را بر بستر مراکز توزیع‌شده Anycast خود مستقر ساخته تا یکپارچگی گره‌ها را حفظ کند:

• پناهگاه ایمن داده‌های رمزنگاری: اتصال قلاب‌های BPF LSM به فراخوانی‌های security_file_open و security_ptrace_access_check دسترسی به کلیدهای Curve25519 را تنها به باینری تاییدشده محدود کرده و خطر تخلیه حافظه را خنثی می‌سازد.
• جلوگیری از تصاحب پورت‌های شبکه: قوانین BPF LSM درگاه‌های ورودی UDP را در همه رابط‌ها قفل کرده و هرگونه تلاش غیراصولی فرآیندهای همجوار برای ثبت سوکت را عقیم می‌گذارند.
• حفظ حریم فضاهای نام ایزوله: نظارت مستقیم بر توصیف‌کننده‌ها تضمین می‌کند سوکت‌های تونل هرگز از کانتینرهای مجزا به محیط‌های بیرونی نشت نکنند و استقلال ترافیک کاربران محفوظ بماند.

هم‌افزایی قابلیت اطمینان کدهای eBPF با قدرت حاکمیتی ماژول‌های امنیتی لینوکس، به شبکه‌های پیشرفته مدرن امکان می‌دهد تا امنیت چندلایه را از قلب سیستم‌عامل هدایت نمایند.