Издание на Bubblewrap 0.4.0, прослойка за създаване на изолирани среди

Достъпен ново издание на инструменти Bubblewrap 0.4.0, предназначено за организиране на работа в изолирани среди в Linux и функционира на ниво приложения на непривилегировани потребители. На практика Bubblewrap се използва от проекта Flatpak като посредник за изолация на приложения, изпълнявани от пакети. Кодът на проекта е написан на C и се разпространява е под лиценз LGPLv2+.

За изолация се използват традиционните за Linux технологии на контейнерната виртуализация, базирани на използване на cgroups, пространства на име (namespaces), Seccomp и SELinux. За извършване на привилегировани операции по настройка на контейнера Bubblewrap се стартира с права на root (изпълнителен файл с suid-флаг) с последващо отнемане на привилегиите след приключване на инициализацията на контейнера.

Активацията на системата за пространства на идентификатори на потребителите (user namespaces), позволяваща използването в контейнери на свой собствен отделен набор от идентификатори, не се изисква за работа, тъй като по подразбиране не работи в много дистрибуции (Bubblewrap се позиционира като ограничена suid реализация на подмножество от възможностите на user namespaces — за изключване на всички идентификатори на потребители и процеси от средата, с изключение на текущия, се използват режимите CLONE_NEWUSER и CLONE_NEWPID). За допълнителна защита програмите, изпълнявани под управлението на
Bubblewrap, се стартират в режим PR_SET_NO_NEW_PRIVS, забраняващ получаването на нови привилегии, например, при наличие на флага setuid.

Изолацията на ниво файловата система се извършва чрез създаване по подразбиране на ново пространство на име за точки на монтаж (mount namespace), в което с помощта на tmpfs се създава празен коренов дял. В този дял при необходимост се прикрепят дялове от външната файлова система в режим "mount —bind" (например, при стартиране с опция "bwrap —ro-bind /usr /usr" дялът /usr се прехвърля от основната система в режим само за четене). Мрежовите възможности се ограничават до достъп до loopback-интерфейса с изолация на мрежовия стек чрез флаговете CLONE_NEWNET и CLONE_NEWUTS.

Ключовото отличие от подобен проект Firejail, който също използва модел на стартиране с прилагане на setuid, е, че в Bubblewrap посредникът за създаване на контейнери включва само необходимия минимум от възможности, а всички разширени функции, необходими за стартиране на графични приложения, взаимодействие с работния плот и филтриране на запитвания към Pulseaudio, са изнесени настрана от Flatpak и се изпълняват вече след сброса на привилегиите. Firejail обаче обединява всички съпътстващи функции в един изпълним файл, което усложнява одита и поддържането на сигурността на достойно ниво..

Новото издание е забележително с реализирането на поддръжка за присъединяване на съществуващи пространства на идентификатори на потребителите (user namespaces) и процесите (pid namespaces). За управление на свързването на пространствата на идентификаторите са добавени флаговете «—userns», «—userns2» и «—pidns».
Тази възможност не работи в режим setuid и изисква прилагането на отделен режим, който може да работи без получаване на права root, но изисква активиране
на user namespaces в системата (по подразбиране деактивирани в Debian и RHEL/CentOS) и не изключва възможността експлоатация потенциално да останат. уязвимости за ръба на ограниченията на «потребителските пространства». От новите функции на Bubblewrap 0.4 се отбелязва възможността за компилиране със Си-библиотеката musl вместо glibc и поддръжката на запазване на информация за пространствата в файл със статистика в JSON формат.

Източник: opennet.ru