границы доверия внутри и вокруг ядраtrust boundaries inside and around the kernel

Безопасность и изоляцияSecurity & Isolation

Механизмы, которыми ОС ограничивает, что может сделать процесс: от базового разделения режимов ядро/пользователь до контейнерной изоляции и песочниц. Каркас: 4 карточки, страницы ещё не написаны.The mechanisms an OS uses to limit what a process can do: from the basic kernel/user mode split to container isolation and sandboxing. Skeleton: 4 cards, pages not yet written.

ТемыTopics

Режимы ядро/пользовательKernel/user modeкольца защиты процессора, системные вызовы как единственная легальная граница перехода.CPU protection rings, syscalls as the only legitimate crossing point. Capabilitiesдробление привилегий root на отдельные capability, зачем это лучше all-or-nothing.splitting root privileges into individual capabilities, why that beats all-or-nothing. Namespaces и cgroupsNamespaces & cgroupsизоляция (PID/net/mount/...) и ограничение ресурсов — фундамент контейнеров.isolation (PID/net/mount/...) and resource limiting — the foundation containers are built on. Sandboxing: seccompфильтрация системных вызовов, BPF-фильтры, где это применяется (браузеры, контейнеры).syscall filtering, BPF filters, where it's used (browsers, containers).

статусstatus

Это каркас: 4 карточки зафиксированы, страницы ещё не написаны.This is a skeleton: 4 cards are locked in, pages not yet written.