Bubblewrap 0.9 এর রিলিজ, বিচ্ছিন্ন পরিবেশ তৈরির জন্য একটি স্তর

উন্নয়নের এক বছর পর, বিচ্ছিন্ন পরিবেশের কাজ সংগঠিত করার জন্য টুলকিটের একটি নতুন সংস্করণ, Bubblewrap 0.9, প্রকাশিত হয়েছে, যা সুবিধাবঞ্চিত ব্যবহারকারীদের পৃথক অ্যাপ্লিকেশন সীমাবদ্ধ করতে ব্যবহৃত হয়। অনুশীলনে, প্যাকেজ থেকে চালু করা অ্যাপ্লিকেশনগুলিকে আলাদা করার জন্য ফ্ল্যাটপ্যাক প্রকল্প একটি স্তর হিসাবে বাবল র‍্যাপ ব্যবহার করে। প্রজেক্ট কোডটি C তে লেখা এবং LGPLv2+ লাইসেন্সের অধীনে বিতরণ করা হয়েছে।

তাপ নিরোধনের জন্য ঐতিহ্যবাহী উপকরণ ব্যবহার করা হয়। Linux cgroups, namespaces, Seccomp এবং SE ব্যবহারের উপর ভিত্তি করে কন্টেইনার ভার্চুয়ালাইজেশন প্রযুক্তিLinuxবিশেষাধিকারপ্রাপ্ত কন্টেইনার কনফিগারেশন অপারেশন সম্পাদন করার জন্য, Bubblewrap রুট প্রিভিলেজ নিয়ে চলে (এক্সিকিউটেবল ফাইলটিতে suid ফ্ল্যাগ সক্রিয় থাকে) এবং কন্টেইনার ইনিশিয়ালাইজেশন সম্পূর্ণ হওয়ার পর প্রিভিলেজ ত্যাগ করে।

নেমস্পেস সিস্টেমে ব্যবহারকারীর নামস্থানের সক্রিয়করণ, যা আপনাকে কন্টেইনারে আপনার নিজস্ব পৃথক শনাক্তকারীর সেট ব্যবহার করতে দেয়, অপারেশনের জন্য প্রয়োজন হয় না, কারণ এটি অনেকগুলি বিতরণে ডিফল্টরূপে কাজ করে না (বাবল র‍্যাপ একটি সীমিত স্যুড বাস্তবায়ন হিসাবে অবস্থান করে ব্যবহারকারীর নামস্থান ক্ষমতার উপসেট - পরিবেশ থেকে সমস্ত ব্যবহারকারী এবং প্রক্রিয়া শনাক্তকারীকে বাদ দিতে, বর্তমানটি ছাড়া, CLONE_NEWUSER এবং CLONE_NEWPID মোডগুলি ব্যবহার করা হয়)। অতিরিক্ত সুরক্ষার জন্য, Bubblewrap এর অধীনে সম্পাদিত প্রোগ্রামগুলি PR_SET_NO_NEW_PRIVS মোডে চালু করা হয়, যা নতুন বিশেষাধিকার অর্জন নিষিদ্ধ করে, উদাহরণস্বরূপ, যদি সেটুইড পতাকা উপস্থিত থাকে।

ফাইল সিস্টেম স্তরে বিচ্ছিন্নতা ডিফল্টরূপে একটি নতুন মাউন্ট নেমস্পেস তৈরি করে সম্পন্ন করা হয়, যেখানে tmpfs ব্যবহার করে একটি খালি রুট পার্টিশন তৈরি করা হয়। প্রয়োজনে, "মাউন্ট —বাইন্ড" মোডে এই পার্টিশনের সাথে বাহ্যিক FS পার্টিশন সংযুক্ত করা হয় (উদাহরণস্বরূপ, "bwrap —ro-bind /usr /usr" বিকল্পের সাথে চালু হলে, /usr পার্টিশনটি প্রধান সিস্টেম থেকে ফরোয়ার্ড করা হয়। শুধুমাত্র-পঠন মোডে)। নেটওয়ার্ক ক্ষমতাগুলি CLONE_NEWNET এবং CLONE_NEWUTS ফ্ল্যাগের মাধ্যমে নেটওয়ার্ক স্ট্যাক আইসোলেশন সহ লুপব্যাক ইন্টারফেসে অ্যাক্সেসের মধ্যে সীমাবদ্ধ৷

একই ধরনের ফায়ারজেল প্রজেক্ট থেকে মূল পার্থক্য, যা সেটুইড লঞ্চ মডেলও ব্যবহার করে, তা হল বাবল র‍্যাপে কন্টেইনার তৈরির স্তরে শুধুমাত্র প্রয়োজনীয় ন্যূনতম ক্ষমতা এবং গ্রাফিকাল অ্যাপ্লিকেশন চালানোর জন্য প্রয়োজনীয় সমস্ত উন্নত ফাংশন, ডেস্কটপের সাথে ইন্টারঅ্যাক্ট করা এবং ফিল্টারিং অনুরোধ অন্তর্ভুক্ত থাকে। পালসেউডিওতে, ফ্ল্যাটপ্যাকের দিকে স্থানান্তরিত করা হয়েছে এবং বিশেষাধিকারগুলি পুনরায় সেট করার পরে কার্যকর করা হয়েছে। অন্যদিকে, ফায়ারজেল একটি এক্সিকিউটেবল ফাইলে সমস্ত সম্পর্কিত ফাংশনগুলিকে একত্রিত করে, যা সঠিক স্তরে অডিট এবং সুরক্ষা বজায় রাখা কঠিন করে তোলে।

নতুন রিলিজে:

• অটোটুলগুলিতে তৈরি করা ফাইলগুলি উত্স প্যাকেজ থেকে সরানো হয়েছে৷ মেসন বিল্ড সিস্টেম এখন সমাবেশের জন্য সুপারিশ করা হয়। Autotools-এর জন্য ঐচ্ছিক সমর্থন আপাতত রয়ে গেছে, কিন্তু ভবিষ্যতে রিলিজে সরিয়ে ফেলার পরিকল্পনা করা হয়েছে।
• কমান্ড লাইন জিরো আর্গুমেন্টের মান সেট করতে "--argv0" বিকল্প যোগ করা হয়েছে (argv[0] হল এক্সিকিউটেবল ফাইলের নাম, যেমন "-argv0 /usr/bin/test")।
• "--symlink" বিকল্পটি এখন শুধুমাত্র তখনই চালু হয় যখন একটি প্রতীকী লিঙ্ক ইতিমধ্যেই বিদ্যমান থাকে এবং কাঙ্খিত টার্গেট ফাইলের দিকে নির্দেশ করে।
• "--ক্যাপ-অ্যাড" বিকল্পটি নথিভুক্ত এবং সক্ষমতা ফ্ল্যাগ সেট করতে ব্যবহৃত হয়, উদাহরণস্বরূপ, "CAP_DAC_READ_SEARCH"৷
• মাউন্ট ব্যর্থ হলে ত্রুটির তথ্যের বর্ধিত বিষয়বস্তু প্রদর্শিত হয়।
• ইউনিট পরীক্ষা তৈরির প্রক্রিয়া সহজ করা হয়েছে।
• ব্যবহারের ক্ষেত্রে আর পাইথনের পুরানো সংস্করণ সমর্থন করে না।
• উন্নত মেমরি বরাদ্দ অপারেশন.

উত্স: opennet.ru