Libseccomp: Q: 다른 스레드에서 SCMP_ACT_NOTIFY가 있는 다른 필터를 가질 수 없습니다.

@drakenclimber 는 이에 대한 설명이 나올 때까지 곧 출시될 v2.5.1 릴리스를 보류합니다. 아직 원본 보고서를 완전히 이해했는지는 모르겠지만, v2.5.1이 seccomp_reset(NULL, ...) 개념을 구현한 첫 번째 릴리스이므로 확인할 수 있을 때까지 잠시만 기다려 보겠습니다...

현재로서는 이를 단순히 차단기로 v2.5.1 이정표에 추가하면 조사하는 대로 변경될 수 있습니다.

@drakenclimber 는 이에 대한 설명이 나올 때까지 곧 출시될 v2.5.1 릴리스를 보류합니다. 아직 원본 보고서를 완전히 이해했는지는 모르겠지만, v2.5.1이 seccomp_reset(NULL, ...) 개념을 구현한 첫 번째 릴리스이므로 확인할 수 있을 때까지 잠시만 기다려 보겠습니다...

동의. 할 것이다.

libseccomp는 알림 fd를 전역 변수 state.notify_fd 합니다. 이것은 (즉, TSYNC를 사용하지 않고) 다른 스레드에서 다른 필터를 가진 다중 스레드 응용 프로그램에 libseccomp를 사용하는 것을 불가능하게 합니다.

마지막 문장에 대해 좀 더 자세히 설명해 주시겠습니까? 전달하려는 내용을 잘 이해하지 못하겠습니다.

FWIW, seccomp 알림 FD는 프로세스 전역 개체이므로 커널에서 한 번만 요청할 수 있습니다. https://github.com/seccomp/libseccomp/issues/273 에서 문제에 대한 배경 지식을 더 얻을 수 있습니다.

libseccomp에는 seccomp_reset(NULL, ...) 가 있어 전역 변수 state.notify_fd 를 재설정합니다. 그러나 seccomp_reset() 는 state.nr_seccomp = -1 를 재설정하는 불행한 결과를 낳습니다.

state.nr_seccomp = -1 재설정이 중요한 문제인 이유는 무엇입니까? nr_seccomp 필드가 -1 로 재설정되면 다음에 seccomp(2) 사용할 수 있는 작업이 요청될 때 라이브러리에서 seccomp(2) 가 지원되는지 확인합니다. 사용할 수 있는 경우 사용합니다. 예, seccomp(2) 에 대한 추가 호출이 발생할 수 있지만 중요한 문제는 아닙니다. 사용 사례에 대한 우려 사항입니까?

@alban- 나와 비슷한 질문입니다. 나는 합리적인 다중 스레드, 다중 seccomp-filter 사용 사례(C에서)를 발명하는 데 약간의 시간을 보냈지만 실제로 아무 것도 생각해내지 못했습니다.

os.LockOSThread() 의 Go 문서를 읽었는데 이해가 됩니다. 그러나 저는 이 지식을 다중 스레드, 다중 초 구성 필터 솔루션으로 변환하는 데 어려움을 겪고 있습니다.

의사 코드나 당신이 생각하는 것에 대한 높은 수준의 디자인을 공유할 수 있습니까? 그러면 기꺼이 C로 프로토타입을 만들 것입니다.

마지막 문장에 대해 좀 더 자세히 설명해 주시겠습니까? 전달하려는 내용을 잘 이해하지 못하겠습니다.

libseccomp-golang에서 단위 테스트 작업을 하는 동안 다음 시나리오가 테스트되고 있음을 깨달았습니다.

1. 단위 테스트의 제 1 실행에서, 기는 seccomp 정책없이 도포 SECCOMP_FILTER_FLAG_TSYNC 이지만로 (이 스레드 레벨에서인가되지 않은 프로세스 레벨 인 의미) SECCOMP_FILTER_FLAG_NEW_LISTENER (libseccomp 저장 있도록 state.notify_fd 의 fd ).
2. 동일한 단위 테스트가 동일한 프로세스에서 다른 스레드에서 다시 실행됩니다(확인하기 위해 Go에서 runtime.LockOSThread ). 그러나 libseccomp는 새 필터에 대한 새 fd를 가져오는 대신 이전 seccomp 필터( state.notify_fd )의 fd를 재사용합니다. 그러면 잘못된 seccomp fd에서 이벤트를 수신할 것으로 예상하기 때문에 테스트가 실패합니다.

FWIW, seccomp 알림 FD는 프로세스 전역 개체이므로 커널에서 한 번만 요청할 수 있습니다. #273을 읽고 이 문제에 대한 배경 지식을 더 얻을 수 있습니다.

내가 이해한 바에 따르면 커널은 필터 트리에서 하나의 seccomp 알림 FD만 받도록 제한합니다. 그러나 위의 시나리오에서는 동일한 프로세스의 두 스레드가 서로 다른 필터 트리를 사용하고 있으므로 커널 관점에서는 문제가 없을 것입니다.

SECCOMP_FILTER_FLAG_NEW_LISTENER 로 다른 필터 트리를 사용하는 이 시나리오는 의도적으로 구축된 것이 아니라 동일한 프로세스에서 실행되는 libseccomp-golang 단위 테스트의 결과로 나온 것입니다. 그러나 근본 원인은 스레드 간에 공유되는 전역 변수 state.notify_fd 를 사용하는 libseccomp이므로 토론을 시작하려면 이 버그를 여기에서 열어야 한다고 생각했습니다. 그러나 이것이 "WONTFIX"로 닫히면 괜찮을 것입니다(다른 libseccomp 사용자가 이러한 종류의 시나리오를 지원해야 하는지 여부는 모르겠습니다). 이 경우 libseccomp-golang 단위 테스트를 다른 방식으로 작성할 수 있습니다(즉, 각 테스트 반복에 대해 별도의 프로세스 사용). 어쨌든 그렇게 해야 합니다(스레드 수준 필터와 프로세스 수준 필터를 혼합하는 것을 피하기 위해 - 커널에서 거부할 수 있음).

libseccomp-golang에서 단위 테스트 작업을 하는 동안 다음 시나리오가 테스트되고 있음을 깨달았습니다.

1. 단위 테스트의 제 1 실행에서, 기는 seccomp 정책없이 도포 SECCOMP_FILTER_FLAG_TSYNC 이지만로 (이 스레드 레벨에서인가되지 않은 프로세스 레벨 인 의미) SECCOMP_FILTER_FLAG_NEW_LISTENER (libseccomp 저장 있도록 state.notify_fd 의 fd ).
2. 동일한 단위 테스트가 동일한 프로세스에서 다른 스레드에서 다시 실행됩니다(확인하기 위해 Go에서 runtime.LockOSThread ). 그러나 libseccomp는 새 필터에 대한 새 fd를 가져오는 대신 이전 seccomp 필터( state.notify_fd )의 fd를 재사용합니다. 그러면 잘못된 seccomp fd에서 이벤트를 수신할 것으로 예상하기 때문에 테스트가 실패합니다.

아하, 이제 더 의미가 있습니다. 나는 종종 libseccomp-golang 바인딩에 대해 TSYNC를 기본값으로 설정해야 하는지 궁금했습니다. Go의 스레드 모호성을 감안할 때 훨씬 더 안전한 선택인 것 같습니다.

내가 이해한 바에 따르면 커널은 필터 트리에서 하나의 seccomp 알림 FD만 받도록 제한합니다. 그러나 위의 시나리오에서는 동일한 프로세스의 두 스레드가 서로 다른 필터 트리를 사용하고 있으므로 커널 관점에서는 문제가 없을 것입니다.

SECCOMP_FILTER_FLAG_NEW_LISTENER 로 다른 필터 트리를 사용하는 이 시나리오는 의도적으로 구축된 것이 아니라 동일한 프로세스에서 실행되는 libseccomp-golang 단위 테스트의 결과로 나온 것입니다. 그러나 근본 원인은 스레드 간에 공유되는 전역 변수 state.notify_fd 를 사용하는 libseccomp이므로 토론을 시작하려면 이 버그를 여기에서 열어야 한다고 생각했습니다. 그러나 이것이 "WONTFIX"로 닫히면 괜찮을 것입니다(다른 libseccomp 사용자가 이러한 종류의 시나리오를 지원해야 하는지 여부는 모르겠습니다). 이 경우 libseccomp-golang 단위 테스트를 다른 방식으로 작성할 수 있습니다(즉, 각 테스트 반복에 대해 별도의 프로세스 사용). 어쨌든 그렇게 해야 합니다(스레드 수준 필터와 프로세스 수준 필터를 혼합하는 것을 피하기 위해 - 커널에서 거부할 수 있음).

이에 대한 @drakenclimber 의 의견을 듣고

libseccomp에서 이 문제를 "수정"하려면 libseccomp 스레드를 인식하도록 해야 합니다. 이 스레드에는 여러 가지 문제와 함정이 있으므로 현재 이것이 잘못된 생각이라고 생각합니다. 그러나 논쟁을 위해 libseccomp 스레드를 인식하게 만들면 내부 전역 상태를 스레드 특정 상태 및/또는 필터 트리 특정 상태로 만들 수도 있습니다. 이 두 경우 모두 현재 API( seccomp_reset(NULL, ...) )가 여전히 합리적이라고 생각하므로 API와 함께 있는 그대로 두고 싶은 유혹이 있습니다. 이에 대해 우려 사항이 있는 사람이 있으면 곧 알려주십시오.

@drakenclimber? 위의 사항에 대해 이의를 제기하지 않는 이상 v2.5.1 릴리스로 돌아가야 한다고 생각합니다.

이에 대한 @drakenclimber 의 의견을 듣고

나는 동의한다. @tych0 의 원래 패치 세트와 주석은 물론 커널 코드 자체를 파헤치는 데 시간을 보냈습니다. 그가 구상한 사용 사례는 컨테이너화된 프로세스가 왔다 갔다 하는 동안 알림 핸들러를 실행하는 모니터링 프로세스입니다. 이러한 컨테이너화된 프로세스가 알림이 있는 시스템 호출을 호출할 때 모니터링 프로세스는 요청을 허용/거부하는 추가 논리를 수행할 수 있습니다.

즉, 여러 알림 호출자와 처리기가 있는 다중 스레드, 단일 프로세스 사용 사례를 생각해 냈습니다. 솔직히 그런 시나리오를 일관성 있게 꾸밀 수는 없었다. 이것은 다소 인위적인 사용 사례이고 현실적인 사용 사례를 파악할 수 없기 때문에 이 WONTFIX를 표시해야 합니다.

하나는 제쳐두고 - 커널이 프로세스에 여러 알림 fds를 반환하도록 할 수 있었습니다. 여러 개의 pthread를 만들고 모두 즉시 알림 작업과 함께 seccomp 필터를 로드하도록 함으로써 때때로 두세 개의 다른 알림 fds를 사용자 공간 프로세스에 반환할 수 있었습니다. 이것은 너무 비현실적이므로 이 커널 문제도 WONTFIX로 표시하는 쪽으로 기울고 싶습니다.

@drakenclimber? 위의 사항에 대해 이의를 제기하지 않는 이상 v2.5.1 릴리스로 돌아가야 한다고 생각합니다.

엄청난. 다음 주 초에 작업을 시작할 수 있어야 합니다.

우리 모두가 여기에 동의하는 것 같으므로 이 문제를 종료하겠습니다. @alban 중요한 것을 놓치고 있다고 생각되면 저희에게 알려주거나 이 문제를 다시 열어서 모든 것을 정리할 수 있도록 하십시오.

모두 감사합니다.