Ubuntu Linux 23.10 は重要な新しいセキュリティ機能を追加しています。
これは、Linuxデスクトップおよびコンテナのセキュリティを大幅に改善する可能性があります。
2023年10月12日、CanonicalはUbuntu 23.10をリリースします。この新しいバージョンのUbuntu Linuxはすでに良い見た目をしています。しかし、新しいセキュリティ機能の一つである制限付き特権のないユーザー名前空間にはあまり注目が集まっていません。これは、Linuxデスクトップとコンテナのセキュリティを大幅に改善する可能性があります。
しかし、あなたは「制限付き特権のないユーザー名前空間」とは何かと聞きますよね？まずは「特権のないユーザー名前空間」が何かを説明しましょう。それは2019年にLinux 3.8カーネルで導入されたLinuxカーネルの機能です。そのアイデアは、ユーザーを通常のユーザーとスーパーユーザー、つまりrootユーザーの2つのグループに分けるLinuxの権限モデルによって引き起こされるセキュリティ問題を回避することでした。問題は、スーパーユーザーとして行動する際には、できないことがないということです。システムを焼き尽くす？もちろん！やってみてください。
このモデルにはこの問題を回避する方法がありますが、特権のないユーザー名前空間は、管理者が通常のユーザーがコンテナ内でスーパーユーザーとして動作し、マスターLinuxシステム上でrootにならずに管理タスクを実行できるサンドボックスやコンテナを設定できるようにすることでLinuxを保護する試みでした。
しかし、もしハッカーがコンテナ内でルート権限を取得した場合、彼らは抜け出してホストシステムに混乱を引き起こすことができます。おっと！
特権のないユーザーネームスペースは、両刃の剣であることが証明されました。それらは、安全なアプリケーションサンドボックスを作成し、setuid や setguid プログラムの多くの使用を置き換えるのに重要ですが、特権のないユーザーにカーネルインターフェースを開放し、潜在的なセキュリティの脆弱性を引き起こすことになります。これらのネームスペースは、いくつかの特権昇格のエクスプロイトチェーンに関与しています。
Ubuntu 23.10はこの課題に真正面から取り組んでいます。この新しいリリースでは、AppArmorポリシーによって制御され、規制された制限付きの特権のないユーザー名前空間が特徴になります。この選択的アプローチにより、認可されたアプリケーションのみがこれらの名前空間にアクセスし、利用できるようになり、関連するセキュリティリスクが大幅に軽減されます。
AppArmorはLinuxカーネルのセキュリティモジュールです。これは、システム管理者が標準のUnix/Linuxの強制アクセス制御（MAC）権限を使用してプログラムの機能を制限できるようにします。AppArmorは、2007年に登場したUbuntu 7.10以来、Ubuntu Linuxに組み込まれています。また、SUSE Linuxファミリーでも使用されています。
この場合、AppArmorを使用して、アプリケーションごとにAppArmorポリシーを介して特権のないユーザー名前空間を選択的に許可および不許可にすることができます。Canonicalは、Chrome、Firefox、Thunderbirdなどの人気プログラムに対して事前に構築されたAppArmorポリシーを提供します。
Canonicalがユーザーフィードバックを集めるにつれて、より多くのアプリのためにより多くのAppArmorプロファイルを構築します。この強化されたセキュリティ機能は、最初はオプトインになります。シェルを介してそれを有効にすることができます。
この機能をオンにするには、シェルから次のコマンドのペアを使用してください:
$sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=1
$sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=1
そして、これを無効にしたい場合は、以下の二つのコマンドを実行してください:
$sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=0
$sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=0
Ubuntuは、このセキュリティ対策をオペレーティングシステムのデフォルト機能として統合する前に、ユーザーのフィードバックを収集して洗練させ、最適化することに特に関心を持っています。
それが完璧に仕上がったら、この機能はデフォルトで23.10で有効になります。安定版リリースアップデート（SRU）を通じて提供されます。それがうまく機能するようになると、すべての今後のUbuntuバージョンで使用されると予想されています。
この機能はUbuntu 23.10に限定されており、以前のバージョンのユーザーには影響を及ぼしません。それは、ユーザー体験を最優先に保ちながら、進化するサイバーセキュリティの脅威に対抗するために、Ubuntuのオペレーティングシステムのセキュリティを将来にわたって強化するという取り組みにおいて重要な一歩です。