Издание на Bubblewrap 0.9, слой за създаване на изолирани среди

След една година разработка е публикувана нова версия на инструмента за организиране на изолирани среди Bubblewrap 0.9, използвана за ограничаване на отделни приложения на непривилегировани потребители. На практика Bubblewrap се прилага от проекта Flatpak като междинен слой за изолиране на приложения, стартирани от пакети. Кодът на проекта е написан на C и се разпространява под лиценз LGPLv2+.

За изолация се използват традиционните за Linux технологии на контейнерната виртуализация, базирани на използване на cgroups, пространства на име (namespaces), Seccomp и SELinux. За извършване на привилегировани операции по настройка на контейнера Bubblewrap се стартира с права на root (изпълнителен файл с suid-флаг) с последващо отнемане на привилегиите след приключване на инициализацията на контейнера.

Активацията на пространствата на име на идентификаторите на потребителите (user namespaces) в системата, позволяваща използването на отделен набор от идентификатори в контейнерите, не е необходима за работа, тъй като по подразбиране не работи в много дистрибуции (Bubblewrap е позициониран като ограничена suid-реализация на подмножество от възможностите на user namespaces — за изключване на всички идентификатори на потребители и процеси от средата, с изключение на текущия, се използват режимите CLONE_NEWUSER и CLONE_NEWPID). За допълнителна защита програмите, стартирани под управлението на Bubblewrap, се изпълняват в режим PR_SET_NO_NEW_PRIVS, който забранява получаването на нови привилегии, например, при наличието на флага setuid.

Изолацията на ниво файловата система се извършва чрез създаване по подразбиране на ново пространство на име за точки на монтаж (mount namespace), в което с помощта на tmpfs се създава празен коренов дял. В този дял при необходимост се прикрепят дялове от външната файлова система в режим "mount —bind" (например, при стартиране с опция "bwrap —ro-bind /usr /usr" дялът /usr се прехвърля от основната система в режим само за четене). Мрежовите възможности се ограничават до достъп до loopback-интерфейса с изолация на мрежовия стек чрез флаговете CLONE_NEWNET и CLONE_NEWUTS.

Ключовата разлика от подобния проект Firejail, който също използва модел на стартиране с прилагане на setuid, е, че в Bubblewrap слоят за създаване на контейнери включва само необходимия минимум възможности, а всички разширени функции, необходими за стартиране на графични приложения, взаимодействие с работния плот и филтриране на повикванията към Pulseaudio, са извънредени на страната на Flatpak и се изпълняват след сброса на привилегиите. Firejail обединява в един изпълним файл всички съпътстващи функции, което усложнява неговия одит и поддържането на сигурността на нужното ниво.

В новото издание:

• От пакета с изходни текстове са премахнати файловете, генерирани в Autotools. За изграждане сега се препоръчва да се използва системата за изграждане Meson. Опционалната поддръжка на Autotools все още е налична, но в бъдещите версии тя се планира да бъде премахната.
• Добавена е опцията «—argv0» за задаване на стойността на нулевия аргумент на командния ред (argv[0] — името на изпълняемия файл, например «—argv0 /usr/bin/test»).
• Опцията «—symlink» сега сработва само когато символичната връзка вече съществува и сочи към нужния целеви файл.
• Документирана е опцията «—cap-add», която се използва за задаване на capability-флагове, например, «CAP_DAC_READ_SEARCH».
• Повишена е информативността на грешките, изведени при провал на монтажа.
• Процесът на създаване на unit-тестове е опростен.
• В примери за употреба е прекратена поддръжката на стари версии на Python.
• Подобрени са операциите по разпределяне на памет.

Източник: opennet.ru