Operativsystemsisolering

Operativsystemsisolering är samlingsbegreppet för tekniker som separerar processer, användare och resurser inom ett operativsystem för att hindra att en komponent påverkar en annan. Genom isolering ökar säkerhet, stabilitet och tillförlitlighet, eftersom fel och attacker ofta begränsas till en begränsad del av systemet. Isoleringen underlättar även delning av resurser i multitenanta miljöer utan att koden och data blandas.

De viktigaste mekanismerna inkluderar minnesisolering genom skyddade adressutrymmen och MMU, processisolering genom separerade körmiljöer, samt namespace- och resursisolering som begränsar vad en process kan se och göra. Namespaces separerar element som processers ID, filsystemet, nätverk och mount-punkter. Cgroups reglerar och begränsar resursanvändning såsom CPU, minne och I/O. Fil- och enhetstillgång kan kontrolleras med chroot-/jail-liknande tekniker samt säkerhetsmodeller som AppArmor, SELinux och Seccomp som begränsar systemanrop. Moderna isoleringslösningar använder Linux-containers, som kombinerar namespace och cgroups för att köra isolerade användarutrymmen utan helt virtualisering. För fullständig isolering används virtualisering via en hypervisor som kör separata virtuella maskiner.

Användningsområden inkluderar multitenant hosting och molnmiljöer där flera kunder kör isolerade processer på samma fysiska maskin; säkert körning av opålitlig kod och testmiljöer; webbläsarsandlådor som isolerar plugins och webbapplikationer. Mobiloperativsystem som Android och iOS tillämpar olika former av appisolering som bygger på användarrättigheter, policyer och sandlådeliknande körningar.

Utmaningar och begränsningar inkluderar prestandapåverkan, ökad komplexitet i konfiguration och underhåll, samt risker att isoleringsmekanismer kringgås vid sårbarheter i kärnan eller i implementeringen. Övergång till nya isoleringstekniker kräver noggrann policyhantering, uppdateringar och övervakning för att säkerställa att isoleringen fungerar som avsett och att resurser inte läcker mellan separata miljöer. Operativsystemsisolering är därmed en central byggsten i moderna säkerhetsmodeller och molninfrastruktur.