Пускане на Bubblewrap 0.6, слой за създаване на изолирани среди

Предлага се версия на инструменти за организиране на работата на изолирани среди Bubblewrap 0.6, обикновено използвани за ограничаване на отделни приложения на непривилегировани потребители. На практика Bubblewrap се използва от проекта Flatpak като слой за изолиране на приложения, стартирани от пакети. Кодът на проекта е написан на C и се разпространява под лиценз LGPLv2+.

За изолация се използват традиционни технологии за виртуализация на Linux контейнери, базирани на използването на cgroups, namespaces, Seccomp и SELinux. За извършване на привилегировани операции за конфигуриране на контейнер, Bubblewrap се стартира с права на root (изпълним файл с флаг suid) и след това нулира привилегиите, след като контейнерът се инициализира.

Активирането на потребителски пространства от имена в системата за пространство от имена, което ви позволява да използвате свой собствен отделен набор от идентификатори в контейнери, не е необходимо за работа, тъй като не работи по подразбиране в много дистрибуции (Bubblewrap се позиционира като ограничена suid реализация на подмножество от възможности за потребителски пространства от имена - за изключване на всички идентификатори на потребители и процеси от средата, с изключение на текущия, се използват режимите CLONE_NEWUSER и CLONE_NEWPID). За допълнителна защита програмите, изпълнявани под Bubblewrap, се стартират в режим PR_SET_NO_NEW_PRIVS, който забранява придобиването на нови привилегии, например, ако е наличен флагът setuid.

Изолацията на ниво файлова система се постига чрез създаване на ново пространство от имена на монтиране по подразбиране, в което се създава празен корен дял с помощта на tmpfs. Ако е необходимо, към този дял се прикачват външни FS дялове в режим „mount —bind“ (например, когато се стартира с опцията „bwrap —ro-bind /usr /usr“, дялът /usr се препраща от основната система в режим само за четене). Мрежовите възможности са ограничени до достъп до интерфейса за обратна връзка с изолация на мрежовия стек чрез флаговете CLONE_NEWNET и CLONE_NEWUTS.

Ключовата разлика от подобен Firejail проект, който също използва модела за стартиране на setuid, е, че в Bubblewrap слоят за създаване на контейнер включва само необходимите минимални възможности и всички разширени функции, необходими за стартиране на графични приложения, взаимодействие с работния плот и филтриране на заявки към Pulseaudio, прехвърлен към страната на Flatpak и изпълнен след нулиране на привилегиите. Firejail, от друга страна, комбинира всички свързани функции в един изпълним файл, което затруднява одита и поддържането на сигурността на правилното ниво.

В новата версия:

• Добавена е поддръжка за системата за сглобяване Meson. Поддръжката за изграждане с Autotools е запазена засега, но ще бъде премахната в бъдеща версия.
• Внедрена е опцията „--add-seccomp“ за добавяне на повече от една програма seccomp. Добавено е предупреждение, че ако зададете отново опцията „--seccomp“, ще се приложи само последният параметър.
• Основният клон в git хранилището е преименуван на main.
• Добавена е частична поддръжка за спецификацията REUSE, която обединява процеса на указване на информация за лиценз и авторско право. Много кодови файлове имат добавени заглавки SPDX-License-Identifier. Следването на указанията за REUSE улеснява автоматичното определяне кой лиценз се отнася за кои части от кода на приложението.
• Добавена е проверка на стойността на брояча на аргументите на командния ред (argc) и е внедрен авариен изход, ако броячът е нула. Промяната помага за блокиране на проблеми със сигурността, причинени от неправилно обработване на предадени аргументи на командния ред, като CVE-2021-4034 в Polkit.

Източник: opennet.ru