Collabora Online får ny sandbox-metode med Linux-funktionen Landlock

Collabora Online 26.04.3-3 tilføjer en ny metode til at isolere hvert dokuments Kit-proces: Linux-kernefunktionen Landlock, som supplement til de eksisterende metoder chroot med capabilities og user namespaces. Landlock er et Linux Security Module tilgængeligt siden kernel 5.13 og kræver ingen særlige rettigheder for at begrænse en proces' filsystemadgang. Ifølge Collabora isolerer Landlock en Kit-proces på median 602 mikrosekunder, mod 842 mikrosekunder for bind mount og 104.471 mikrosekunder for det gamle link-or-copy-fallback, altså omkring 170 gange hurtigere end fallback-metoden. Landlock kan ikke montere filsystemer, så multi-tenant-funktionen er omlagt for stadig at kunne dele skabeloner og ordbøger hurtigt. coolwsd forsøger fortsat namespaces først i servertilstand, mens RichDocumentsCode-varianten nu forsøger Landlock først. Understøttelse kan tjekkes med kommandoen cat /sys/kernel/security/lsm og er som standard aktiveret siden Ubuntu 22.04, Debian 12 og RHEL 9.6.