Bubblewrap 0.8 এর রিলিজ, বিচ্ছিন্ন পরিবেশ তৈরির জন্য একটি স্তর

বিচ্ছিন্ন পরিবেশের কাজ সংগঠিত করার জন্য সরঞ্জামগুলির একটি রিলিজ Bubblewrap 0.8 উপলব্ধ, সাধারণত সুবিধাবিহীন ব্যবহারকারীদের পৃথক অ্যাপ্লিকেশন সীমাবদ্ধ করতে ব্যবহৃত হয়। অনুশীলনে, প্যাকেজ থেকে চালু করা অ্যাপ্লিকেশনগুলিকে আলাদা করার জন্য ফ্ল্যাটপ্যাক প্রকল্প একটি স্তর হিসাবে বাবল র‍্যাপ ব্যবহার করে। প্রজেক্ট কোডটি C তে লেখা এবং LGPLv2+ লাইসেন্সের অধীনে বিতরণ করা হয়েছে।

বিচ্ছিন্নতার জন্য, প্রচলিত লিনাক্স কন্টেইনার ভার্চুয়ালাইজেশন প্রযুক্তি ব্যবহার করা হয়, cgroups, নেমস্পেস, Seccomp এবং SELinux ব্যবহারের উপর ভিত্তি করে। একটি কন্টেইনার কনফিগার করার জন্য বিশেষ সুবিধাপ্রাপ্ত ক্রিয়াকলাপগুলি সম্পাদন করতে, বাবল র‍্যাপ রুট অধিকারের সাথে চালু করা হয় (একটি স্যুড ফ্ল্যাগ সহ একটি এক্সিকিউটেবল ফাইল) এবং তারপর কন্টেইনার শুরু হওয়ার পরে বিশেষাধিকারগুলি পুনরায় সেট করে৷

নেমস্পেস সিস্টেমে ব্যবহারকারীর নামস্থানের সক্রিয়করণ, যা আপনাকে কন্টেইনারে আপনার নিজস্ব পৃথক শনাক্তকারীর সেট ব্যবহার করতে দেয়, অপারেশনের জন্য প্রয়োজন হয় না, কারণ এটি অনেকগুলি বিতরণে ডিফল্টরূপে কাজ করে না (বাবল র‍্যাপ একটি সীমিত স্যুড বাস্তবায়ন হিসাবে অবস্থান করে ব্যবহারকারীর নামস্থান ক্ষমতার উপসেট - পরিবেশ থেকে সমস্ত ব্যবহারকারী এবং প্রক্রিয়া শনাক্তকারীকে বাদ দিতে, বর্তমানটি ছাড়া, CLONE_NEWUSER এবং CLONE_NEWPID মোডগুলি ব্যবহার করা হয়)। অতিরিক্ত সুরক্ষার জন্য, Bubblewrap এর অধীনে সম্পাদিত প্রোগ্রামগুলি PR_SET_NO_NEW_PRIVS মোডে চালু করা হয়, যা নতুন বিশেষাধিকার অর্জন নিষিদ্ধ করে, উদাহরণস্বরূপ, যদি সেটুইড পতাকা উপস্থিত থাকে।

ফাইল সিস্টেম স্তরে বিচ্ছিন্নতা ডিফল্টরূপে একটি নতুন মাউন্ট নেমস্পেস তৈরি করে সম্পন্ন করা হয়, যেখানে tmpfs ব্যবহার করে একটি খালি রুট পার্টিশন তৈরি করা হয়। প্রয়োজনে, "মাউন্ট —বাইন্ড" মোডে এই পার্টিশনের সাথে বাহ্যিক FS পার্টিশন সংযুক্ত করা হয় (উদাহরণস্বরূপ, "bwrap —ro-bind /usr /usr" বিকল্পের সাথে চালু হলে, /usr পার্টিশনটি প্রধান সিস্টেম থেকে ফরোয়ার্ড করা হয়। শুধুমাত্র-পঠন মোডে)। নেটওয়ার্ক ক্ষমতাগুলি CLONE_NEWNET এবং CLONE_NEWUTS ফ্ল্যাগের মাধ্যমে নেটওয়ার্ক স্ট্যাক আইসোলেশন সহ লুপব্যাক ইন্টারফেসে অ্যাক্সেসের মধ্যে সীমাবদ্ধ৷

একই ধরনের ফায়ারজেল প্রজেক্ট থেকে মূল পার্থক্য, যা সেটুইড লঞ্চ মডেলও ব্যবহার করে, তা হল বাবল র‍্যাপে কন্টেইনার তৈরির স্তরে শুধুমাত্র প্রয়োজনীয় ন্যূনতম ক্ষমতা এবং গ্রাফিকাল অ্যাপ্লিকেশন চালানোর জন্য প্রয়োজনীয় সমস্ত উন্নত ফাংশন, ডেস্কটপের সাথে ইন্টারঅ্যাক্ট করা এবং ফিল্টারিং অনুরোধ অন্তর্ভুক্ত থাকে। পালসেউডিওতে, ফ্ল্যাটপ্যাকের দিকে স্থানান্তরিত করা হয়েছে এবং বিশেষাধিকারগুলি পুনরায় সেট করার পরে কার্যকর করা হয়েছে। অন্যদিকে, ফায়ারজেল একটি এক্সিকিউটেবল ফাইলে সমস্ত সম্পর্কিত ফাংশনগুলিকে একত্রিত করে, যা সঠিক স্তরে অডিট এবং সুরক্ষা বজায় রাখা কঠিন করে তোলে।

নতুন রিলিজে:

• স্যান্ডবক্স পরিবেশে তার নিজস্ব নেস্টেড ব্যবহারকারীর নামস্থান তৈরি অক্ষম করতে "--অক্ষম-ব্যবহারকারী" বিকল্পটি যোগ করা হয়েছে।
• "--অক্ষম-ব্যবহারকারী-ব্যবহারকারী" বিকল্পটি ব্যবহার করার সময় একটি বিদ্যমান ব্যবহারকারী আইডি স্থান ব্যবহার করা হয়েছে কিনা তা পরীক্ষা করার জন্য "--assert-users-disabled" বিকল্প যোগ করা হয়েছে।
• কার্নেলে CONFIG_SECCOMP এবং CONFIG_SECCOMP_FILTER সেটিংস নিষ্ক্রিয় করার সাথে সম্পর্কিত ত্রুটি বার্তাগুলির তথ্য সামগ্রী বৃদ্ধি করা হয়েছে।

উত্স: opennet.ru