Издание на Bubblewrap 0.11, прослойка за създаване на изолирани среди

Публикувана нова версия инструмента за организиране на работа в изолирани среди Bubblewrap 0.11, използван за ограничаване на отделни приложения на непривилегировани потребители. На практика Bubblewrap се прилага от проекта Flatpak като прослойка за изолация на стартираните от пакети приложения. За изолация се използват традиционни технологии за контейнерна виртуализация в Linux, базирани на използването на cgroups, пространства на имена (namespaces), Seccomp и SELinux. Кодът на проекта е написан на езика C и се разпространява под лицензия LGPLv2+.

Изолацията на ниво файловата система се извършва чрез създаване по подразбиране на ново пространство на име за точки на монтаж (mount namespace), в което с помощта на tmpfs се създава празен коренов дял. В този дял при необходимост се прикрепят дялове от външната файлова система в режим "mount —bind" (например, при стартиране с опция "bwrap —ro-bind /usr /usr" дялът /usr се прехвърля от основната система в режим само за четене). Мрежовите възможности се ограничават до достъп до loopback-интерфейса с изолация на мрежовия стек чрез флаговете CLONE_NEWNET и CLONE_NEWUTS.

За изключването на всички излишни идентификатори на потребители и процеси от създаваната изолирана среда могат да се използват режимите CLONE_NEWUSER (user namespace) и CLONE_NEWPID (PID namespace), а за забрана на получаването на нови привилегии се прилага режим PR_SET_NO_NEW_PRIVS. На системи с „user namespace“ Bubblewrap може да се стартира под обикновен потребител, а на системи без „user namespace“ може да се използва с флага suid root за изпълнение на необходимата инициализация на изолираната среда.

В новото издание:

• Предоставена е възможност за създаване на точки на монтиране, в които се използва моногослойната файлова система OverlayFS, обединяваща няколко части от други файлови системи. За управление на използването на OverlayFS са предложени нови опции на командния ред «—overlay», «—tmp-overlay», «—ro-overlay» и «—overlay-src».
• Добавена е опция «—level-prefix» за подмяна в диагностичния изход на нивото на приоритет в стил syslog, което позволява използването на утилити като «logger» и «systemd-cat» за обработка на изхода.
• Поддръжката на системата за изграждане Autotools е прекратена. За изграждане сега е необходим инструментариумът Meson.

Източник: opennet.ru