Secure computing mode
Firejail は、Linux 名前空間(英語版)、Seccomp 及び その他のカーネルレベルのセキュリティ機能を、Linuxのサンドボックス化 および Wine アプリケーションのために利用する 。
Chrome はバージョン 20 の時点で、Adobe Flash Playerをサンドボックス化するのに seccomp-bpf を利用している
Chrome はバージョン 23 の時点で、レンダラーをサンドボックス化するのに seccomp-bpf を利用している。
Snap はアプリケーションサンドボックスの形状を指定する。そのために snapd が seccomp, AppArmor、その他のセキュリティ構造に変換するインターフェイスを利用する 。
vsftpd(英語版) はバージョン 3.0.0 の時点で、seccomp-bpf サンドボックスを利用している 。
OpenSSH は バージョン 6.0 以降で、seccomp-bpf をサポートしている 。
Mbox は seccomp-bpf と共に ptrace を使う。これにより、ptrace 単体よりも少ないオーバーヘッドで安全なサンドボックスを作成する 。
LXD : コンテナ用の Ubuntu の "ハイパーバイザ" 。
Firefox および Firefox OS は seccomp-bpf を利用している 。
Tor は、バージョン 0.2.5.1-alpha 以降で、seccomp をサポートしている 。
Dropbox が開発した JPEG 画像を圧縮するツール Lepton はseccomp を利用している。
seccomp は、プロセスが危険なシステムコールを呼び出せない「安全」な状態に不可逆的に移行させる。ただし、exit(), sigreturn(), 既に開いているファイルディスクリプタに対する read()/ write() を除く。
それ以外のシステムコールが実行されると、カーネルはそのイベントをログに記録するだけでシステムコールを実行しないか、SIGKILL もしくは SIGSYS でプロセスを強制終了させる。
すなわち、seccomp はシステムリソースの仮想化を行うのではなく、プロセスをリソースから完全に独立させる。
seccomp は 引数に PR_SET_SECCMP を指定した prctl(2) システムコールによって実現される。または Linuxカーネル 3.17 以降 では、seccomp(2) システムコール が使われる。
seccomp-bpf は secomp の拡張機能である 。
これは以下のようなソフトウェア等で利用されている:
OpenSSH
vsftpd
Google Chrome/Chromium ウェブブラウザ (ChromeOS oyobi Linux)
seccomp-bpf は古くなった古い systrace と同等の機能を実現するが、柔軟性とパフォーマンスが良くなる。