Публикувана нова версия инструментариум за организация на работа в изолирани среди Bubblewrap 0.11, който се използва за ограничаване на отделни приложения на непривилегировани потребители. На практика Bubblewrap се прилага от проекта Flatpak като слой за изолация на стартираните от пакети приложения. За изолацията се използват традиционни за Linux технологии за контейнерна виртуализация, основани на използването на cgroups, пространства на имена (namespaces), Seccomp и SELinux. Кодът на проекта е написан на C и е разпространен под лиценз LGPLv2+.
Изолацията на ниво файлова система се извършва чрез създаване по подразбиране на ново пространство на имена на точки на монтиране (mount namespace), в което с помощта на tmpfs се създава празен коренов раздел. В този раздел при необходимост се прикрепят раздели от външна файлова система в режим „mount —bind“ (например, при стартиране с опция „bwrap —ro-bind /usr /usr“, разделът /usr се прехвърля от основната система в режим само за четене). Мрежовите възможности се ограничават до достъпа до loopback интерфейса с изолация на мрежовия стек чрез флаговете CLONE_NEWNET и CLONE_NEWUTS.
За изключване на всички излишни идентификатори на потребители и процеси от създаваната изолирана среда могат да се използват режимите CLONE_NEWUSER (user namespace) и CLONE_NEWPID (PID namespace), а за забрана на получаването на нови привилегии се прилага режимът PR_SET_NO_NEW_PRIVS. На системи с „user namespace“ Bubblewrap може да се стартира под обикновен потребител, а на системи без „user namespace“ може да се използва с флага suid root за извършване на необходимата инициализация на изолираната среда.
В новото издание:
- Предоставена е възможност за създаване на точки на монтиране, в които се използва монослойна файлова система OverlayFS, обединяваща няколко части от други файлови системи. За управление на използването на OverlayFS са предложени нови опции за командния ред „—overlay“, „—tmp-overlay“, „—ro-overlay“ и „—overlay-src“.
- Добавена е опция „—level-prefix“ за подмяна в диагностичния изход на ниво приоритет в стил syslog, която позволява за обработка на изхода да се използват утилити като „logger“ и „systemd-cat“.
- Преустановена е поддръжката на системата за компилация Autotools. За компилация сега е необходим инструментариум Meson.
Източник: opennet.ru
