OpenBSD 以其严格的安全设计闻名，其中 pledge 和 unveil 系统调用是实现进程特权分离的核心机制。这些工具允许开发者在运行时限制进程对系统资源和操作的访问，从而显著缩小潜在攻击面。对于网络服务和守护进程（如 HTTP 服务器或自定义网络守护进程），正确应用这些调用可以防止漏洞利用导致的系统级破坏。本文将探讨如何工程化地使用这些系统调用，实现沙箱化网络服务，重点提供可落地的参数配置和实施清单。
unveil 系统调用的原理与应用
unveil(2) 是 OpenBSD 引入的文件系统视图限制机制，它允许进程仅“揭开”特定路径的访问权限，从而隐藏整个文件系统的其他部分。这类似于一个动态的 chroot，但更细粒度，能在运行时逐步添加规则，而非一次性切换根目录。
首先，调用 unveil 时需指定路径和权限字符串。权限包括 'r'（读）、'w'（写）、'x'（执行）和 'c'（创建/删除）。例如，对于一个网络守护进程，只需访问配置文件、日志目录和临时文件，即可限制为：
#include <unistd.h>
if (unveil("/etc/mydaemon.conf", "r") == -1)
err(1, "unveil /etc/mydaemon.conf");
if (unveil("/var/log/mydaemon", "rw") == -1)
err(1, "unveil /var/log/mydaemon");
if (unveil("/tmp", "rwc") == -1)
err(1, "unveil /tmp");
if (unveil(NULL, NULL) == -1)
err(1, "unveil NULL");
这里，第一个调用揭开配置文件读权限，第二个允许日志读写，第三个针对临时文件。锁定后，任何未揭开的路径访问将返回 EACCES 错误。如果进程尝试访问 /home/user/file，将失败，因为它未被揭开。
证据显示，这种限制有效减少了文件系统攻击面。根据 OpenBSD 手册，unveil 适用于守护进程初始化阶段：在解析命令行后、进入主循环前应用。实际测试中，一个未沙箱化的守护进程可能被利用读取敏感文件，而 unveil 后，攻击者仅限于已揭开路径。
可落地参数：对于网络服务，典型揭开路径包括 /etc（配置，'r'）、/var/run（PID 文件，'c'）、/dev/null（标准 I/O，隐式通过 stdio）。上限为进程级 1024 条规则（E2BIG 错误），故优先揭开目录而非单个文件，以覆盖子路径。监控点：使用 strace 或 systrace 跟踪文件打开失败，阈值设为 0（任何失败即警报）。
pledge 系统调用的原理与应用
pledge(2) 则从系统调用层面限制进程行为，通过承诺字符串指定允许的操作类别，如 stdio（基本 I/O）、rpath（读路径）、inet（网络）、proc（进程控制）和 exec（执行）。一旦设置，后续调用只能缩小权限，无法扩大。违反承诺的调用将触发 SIGABRT，导致进程终止并生成核心转储。
对于网络守护进程，典型承诺组合为 "stdio rpath wpath cpath inet proc"：stdio 确保日志和套接字 I/O，rpath/wpath/cpath 处理文件，inet 允许 bind/listen/accept，proc 许可 fork 子进程。示例代码：
#include <unistd.h>
if (pledge("stdio rpath wpath cpath inet proc", NULL) == -1)
err(1, "pledge");
这允许守护进程监听端口、读写文件和 fork，但禁止如 setuid（需 id 承诺）或 DNS 解析（需 dns）。如果守护进程需执行外部脚本，可临时添加 exec，但立即缩小。
OpenBSD 官方示例中，sshd 使用 pledge 限制为 "stdio proc exec id dns rpath wpath cpath"，证据来自源代码分析：这防止了缓冲区溢出后执行任意系统调用。研究显示，pledge 减少了 90% 以上的无关系统调用，显著降低 ROP 攻击成功率。
可落地参数：网络服务起始承诺 "stdio rpath inet"，初始化后扩展为 "proc"（fork 工作者）。超时参数：pledge 在 main() 早期调用，延迟超过 1 秒视为配置错误。清单：1) 列出所有系统调用（用 strace 捕获）；2) 映射到承诺（参考 man pledge）；3) 测试缩小后功能完整性。回滚策略：若崩溃，临时移除 pledge，逐步添加。
结合 pledge 和 unveil 在守护进程中的工程化实施
最佳实践是将 unveil 和 pledge 结合使用：先 unveil 限制文件系统（在加载配置前），后 pledge 限制系统调用（在进入监听循环前）。对于一个简单 TCP 守护进程：
- 解析命令行和加载配置（需宽松权限）。
- unveil 揭开必要路径。
- pledge 设置承诺。
- 进入主循环：bind 端口、accept 连接、处理请求。
示例伪代码：
int main(int argc, char *argv[]) {
parse_args(argc, argv);
load_config("/etc/mydaemon.conf");
unveil("/etc/mydaemon.conf", "r");
unveil("/var/log/mydaemon", "rw");
unveil("/tmp", "rwc");
unveil(NULL, NULL);
pledge("stdio rpath wpath cpath inet proc", NULL);
int sock = socket(AF_INET, SOCK_STREAM, 0);
bind(sock, ...);
listen(sock, 5);
while (1) {
int client = accept(sock, ...);
if (fork() == 0) {
handle_client(client);
close(client);
_exit(0);
}
close(client);
}
return 0;
}
这种设计实现了最小权限原则：父进程仅管理套接字，子进程处理请求，受限于相同规则。证据：OpenBSD 的 httpd 使用类似模式，仅揭开 /var/www 和日志，承诺 "stdio rpath inet proc"，在 CVE 测试中证明有效隔离漏洞。
实施清单：
- 预实施：审计源代码，识别所有文件访问和系统调用。
- 配置参数：unveil 路径 ≤ 10 条，权限最小化（避免 'w' 于非日志路径）；pledge 起始 "stdio"，渐进添加。
- 测试：单元测试文件打开、网络 bind；负载测试 1000 连接下无崩溃； fuzz 测试输入以验证边界。
- 监控与参数：syslog 记录 pledge/unveil 失败（优先级 emerg）；阈值：每日日志 >5 失败触发警报；回滚：环境变量 PLEDGE_DISABLE=1 跳过调用。
- 部署：在 OpenBSD 7.x+ 上，编译时链接 -lutil；生产中用 doas 运行非 root。
风险：过度限制导致功能失效（如动态加载库需 exec）；解决方案：分阶段 rollout，先 staging 环境测试。限额：unveil 规则过多耗内存（<1MB），pledge 无显著开销。
通过这些机制，OpenBSD 守护进程可实现高效的特权分离，远优于传统 chroot 或 seccomp。实际部署中，此方法已帮助许多服务抵御零日攻击。
资料来源