Песочница Java-код перед компиляцией?

Question

Если есть система, в которой клиент записывает Java-код (* .java-файлы) и отправляет их на сервер, работающий на Java, как я могу сделать переданный код ненужными и вредоносными?

Для получения дополнительной информации: клиент будет писать текстовый Java-код (их классы), и код будет отправлен на сервер. На сервере код будет проверен, чтобы убедиться, что он разрешает действия. Если он проходит тест, он скомпилируется в файл .class, где затем загружается загрузчиком классов Java. Наконец, используя Reflection, методы затем можно вызывать и передавать параметры.

Я думаю, что могу видеть, как это сделать, но как я могу убедиться, что код, который скомпилирован, «безопасен»? Например, я бы не хотел, чтобы он порождал потоки или выполнял файл IO или взаимодействовал с системой, в которой он работает. Я думал, что могу сканировать входной файл для импорта, а если он не в белом списке, отбросьте файл. Кроме того, я думал, что если бы я хотел что-то ограничить, например, количество потоков, я мог бы позволить импортировать прокси-класс, который будет отслеживать потоки для каждого пользователя.

Будет ли это работать, или если нет пути?

Answer 1

Java имеет некоторые механизмы песочниц, но те имеют такую ​​плохую репутацию безопасности, что многие рекомендуют отключать Java в браузере полностью.

Вы можете попробовать изолировать виртуальную машину VM в своей виртуальной ОС с ограниченными привилегиями.

В качестве альтернативы вы можете потребовать, чтобы код запускался на языке, таком как Joe-E, который предназначен для того, чтобы позволить программам Java выполнять ненадежный код.

Джо-E является подмножеством Java, что облегчает архитектор и осуществлять программы с сильными свойствами безопасности, которые могут быть проверены в ходе проверки безопасности. Это позволяет программистам применять принцип наименьших привилегий к своим программам; применять контрольные мониторы для конкретных приложений, которые нельзя обойти; внедрение и использование абстракций безопасности домена; безопасно выполнять и взаимодействовать с ненадежным кодом; и создавать безопасные, расширяемые системы. Joe-E демонстрирует, как можно достичь сильных свойств безопасности языка объектов, сохраняя при этом функции и ощущения основного объектно-ориентированного языка.

Степень, в которой дизайнеры Джо-E пришлось отойти от стандартного Java должен дать вам представление о том, насколько велика задаче это предотвратить ненадежный код Java от злоупотребления ambient authority доступного изнутри виртуальной машины Java.

---

Хотя некоторые из этих подходов могут защитить вас от злоупотребления власти (особенно, если слоистый вместе), никто не помешает denial of service. Если вы пытаетесь запустить код других людей вместе с кодом, и он решает попытаться взять весь процессор и никогда не вернуть его, ваш единственный вариант - это часто убивать весь процесс.

Answer 2

То, что вы пытаетесь сделать, было бы бесконечным сражением с людьми, которые решили делать вредоносные вещи. Поэтому я бы рекомендовал, чтобы вы просмотрели эту страницу о том, как изолировать свой код.

http://securesoftwaredev.com/2012/11/12/sandboxing-java-code/

Резюмируя

• По умолчанию Java работает без SecurityManager, так что вы должны добавить код в приложение, чтобы включить один:

  System.setSecurityManager(new SecurityManager()); 
  

• A представляет собой доступ к системе re источник.

• Используйте код подписания

Чтобы собрать части в песочнице:

1. Установите SecurityManager
2. Подпишите заявление банки
3. Grant весь код, подписанный нами AllPermission
4. Добавить проверки разрешений в местах, где Код может позвонить
5. Выполните код после проверки прав доступа в doPrivileged() блоке

Answer 3

Онлайн судьи делают это. Некоторые из них с открытым исходным кодом. Посмотрите, можете ли вы использовать любой из них или код, который был разработан. Googling, this product является открытым исходным кодом и говорит, что бэкэнд находится в bash, что может помочь вам с безопасностью OS-интерфейса.

This judge выглядит как какой-то случайный проект, который может или не может работать или осуществлять безопасность, но это Java. Держите гуглинг.

Answer 4

Белый список - это вариант. с черным списком злоумышленники найдут что-то злонамеренное, которое не является черным.

SecurityManager делает то же самое, указав разрешения. Это путь.

сканирования кода может достичь того же на другом уровне, но вы будете изобретать колесо (SecurityManager)

Answer 5

Я смотрел этот вопрос. Стандартная модель безопасности Java предназначена для каждой функции, которая может сделать что-то опасное, включая код, который проверяет права доступа вызывающего абонента и запрещает доступ к кому-либо из песочницы. Кроме того, JNI может быть запрещен в коде песочниц, по понятным причинам.

Проблема с этим подходом, конечно, заключается в том, что иногда разработчики забывают инкапсулировать свои функции в проверки безопасности. Иногда они даже не понимают, что создают ненадежный API и ожидают, что его зависимости, в свою очередь, будут лишены доступа из изолированных приложений.

Другая проблема с этим подходом заключается в том, что проверка нарушений безопасности в каждом вызове API довольно дорогостоящая. В прошлом у Java были другие проблемы с производительностью, которые сделали этот довольно низкий приоритет. Например, стоимость вызова JNI, как правило, такая дорогостоящая, что ее упаковка в код безопасности, вероятно, очень мало для снижения производительности. Но современные JVM: s настолько быстры, что это, вероятно, становится одним из оставшихся узких мест в мэре.

Я не знаю, как .NET реализует песочницу в современных версиях. Но я знаю, как это делает Mono и Native Client. Вместо использования песочницы в рамках кода рамки они используют проверку кода перед выполнением.Затем они могут создать класс, который использует только безопасный API: s перед ним: s передается JIT. Это, конечно, небольшая задержка для загрузки классов, но в конечном итоге более безопасна, чем модель безопасности Java, и в качестве бонуса есть выигрыш в производительности, который теперь запускает безопасный класс без какой-либо песочницы.

Есть Java библиотеки, которые могут быть использованы для реализации что-то подобное в Java, такие ASM и BCEL

Единственная попытка я могу найти использовать анализ кода в безопасности Java являются Mobile Code Security Through Java Byte-Code Modification, которая использует BECL для этого.