Издаване на Bubblewrap 0.8, прослойки за създаване на изолирани среди

Наличен релиз инструмента за организиране на работата в изолирани срединия Bubblewrap 0.8, обикновено използван за ограничаване на отделни приложения на непривилегировани потребители. На практика Bubblewrap се прилага от проекта Flatpak като слой за изолация на стартираните от пакети приложения. Кодът на проекта е написан на езика C и се разпространява под лиценз LGPLv2+.

За изолация се използват традиционните за Linux технологии на контейнерната виртуализация, базирани на използване на cgroups, пространства на име (namespaces), Seccomp и SELinux. За извършване на привилегировани операции по настройка на контейнера Bubblewrap се стартира с права на root (изпълнителен файл с suid-флаг) с последващо отнемане на привилегиите след приключване на инициализацията на контейнера.

Активацията на пространствата на име на идентификаторите на потребителите (user namespaces) в системата, позволяваща използването на отделен набор от идентификатори в контейнерите, не е необходима за работа, тъй като по подразбиране не работи в много дистрибуции (Bubblewrap е позициониран като ограничена suid-реализация на подмножество от възможностите на user namespaces — за изключване на всички идентификатори на потребители и процеси от средата, с изключение на текущия, се използват режимите CLONE_NEWUSER и CLONE_NEWPID). За допълнителна защита програмите, стартирани под управлението на Bubblewrap, се изпълняват в режим PR_SET_NO_NEW_PRIVS, който забранява получаването на нови привилегии, например, при наличието на флага setuid.

Изолацията на ниво файловата система се извършва чрез създаване по подразбиране на ново пространство на име за точки на монтаж (mount namespace), в което с помощта на tmpfs се създава празен коренов дял. В този дял при необходимост се прикрепят дялове от външната файлова система в режим "mount —bind" (например, при стартиране с опция "bwrap —ro-bind /usr /usr" дялът /usr се прехвърля от основната система в режим само за четене). Мрежовите възможности се ограничават до достъп до loopback-интерфейса с изолация на мрежовия стек чрез флаговете CLONE_NEWNET и CLONE_NEWUTS.

Ключовата разлика от подобния проект Firejail, който също използва модел на стартиране с прилагане на setuid, е, че в Bubblewrap слоят за създаване на контейнери включва само необходимия минимум възможности, а всички разширени функции, необходими за стартиране на графични приложения, взаимодействие с работния плот и филтриране на повикванията към Pulseaudio, са извънредени на страната на Flatpak и се изпълняват след сброса на привилегиите. Firejail обединява в един изпълним файл всички съпътстващи функции, което усложнява неговия одит и поддържането на сигурността на нужното ниво.

В новото издание:

• Добавена е опцията «—disable-userns», която деактивира създаването на вложено пространство от идентификатори на потребители в sandbox-окружението.
• Добавена е опцията «—assert-userns-disabled» за проверка, че при използване на опцията «—disable-userns» е задействано съществуващото пространство от идентификатори на потребители.
• Повишена е информативността на съобщенията за грешки, свързани с деактивацията на настройките CONFIG_SECCOMP и CONFIG_SECCOMP_FILTER в ядрото.

Източник: opennet.ru