Издание Bubblewrap 0.5.0, слой за създаване на изолирани среди

Наличен е инструментариум за организиране на работа на изолирани среди Bubblewrap 0.5.0, обикновено използван за ограничаване на отделни приложения на непривилегировани потребители. На практика Bubblewrap се прилага от проекта Flatpak като слой за изолация на приложения, стартирани от пакети. Кодът на проекта е написан на C и се разпространява под лиценз LGPLv2+.

За изолация се използват традиционните за Linux технологии на контейнерната виртуализация, базирани на използване на cgroups, пространства на име (namespaces), Seccomp и SELinux. За извършване на привилегировани операции по настройка на контейнера Bubblewrap се стартира с права на root (изпълнителен файл с suid-флаг) с последващо отнемане на привилегиите след приключване на инициализацията на контейнера.

Активацията на пространствата на име на идентификаторите на потребителите (user namespaces) в системата, позволяваща използването на отделен набор от идентификатори в контейнерите, не е необходима за работа, тъй като по подразбиране не работи в много дистрибуции (Bubblewrap е позициониран като ограничена suid-реализация на подмножество от възможностите на user namespaces — за изключване на всички идентификатори на потребители и процеси от средата, с изключение на текущия, се използват режимите CLONE_NEWUSER и CLONE_NEWPID). За допълнителна защита програмите, стартирани под управлението на Bubblewrap, се изпълняват в режим PR_SET_NO_NEW_PRIVS, който забранява получаването на нови привилегии, например, при наличието на флага setuid.

Изолацията на ниво файловата система се извършва чрез създаване по подразбиране на ново пространство на име за точки на монтаж (mount namespace), в което с помощта на tmpfs се създава празен коренов дял. В този дял при необходимост се прикрепят дялове от външната файлова система в режим "mount —bind" (например, при стартиране с опция "bwrap —ro-bind /usr /usr" дялът /usr се прехвърля от основната система в режим само за четене). Мрежовите възможности се ограничават до достъп до loopback-интерфейса с изолация на мрежовия стек чрез флаговете CLONE_NEWNET и CLONE_NEWUTS.

Ключовата разлика от подобния проект Firejail, който също използва модел на стартиране с прилагане на setuid, е, че в Bubblewrap слоят за създаване на контейнери включва само необходимия минимум възможности, а всички разширени функции, необходими за стартиране на графични приложения, взаимодействие с работния плот и филтриране на повикванията към Pulseaudio, са извънредени на страната на Flatpak и се изпълняват след сброса на привилегиите. Firejail обединява в един изпълним файл всички съпътстващи функции, което усложнява неговия одит и поддържането на сигурността на нужното ниво.

В новото издание са предложени опции: „—chmod“ за промяна на правата за достъп, „—clearenv“ за почистване на променливите на средата (освен PWD) и „—perms“ за определяне на правата за достъп, прилагани при изпълнение на операции „—bind-data“, „—dir“, „—file“, „—ro-bind-data“ и „—tmpfs“. Подобрена е диагностика на проблемите, възникващи при неуспех на монтиране в режим bind. За zsh е добавена поддръжка за автоматично допълване на команди с натискане на табулация.

Източник: opennet.ru