Byla vydána nová verze nástroje pro organizaci práce izolovaných prostředí Bubblewrap 0.11, který se používá pro omezení jednotlivých aplikací neprivilegovaných uživatelů. V praxi je Bubblewrap používán projektem Flatpak jako mezivrstva pro izolaci aplikací spouštěných ze balíčků. K izolaci se využívají tradiční technologie kontejnerové virtualizace pro Linux, založené na cgroups, prostorů názvů (namespaces), Seccomp a SELinux. Kód projektu je napsán v jazyce C a šíří se pod licencí LGPLv2+.
Izolace na úrovni souborového systému se provádí vytvořením nového namespaces pro body připojení (mount namespace), v němž se pomocí tmpfs vytváří prázdný kořenový oddíl. Do tohoto oddílu se v případě potřeby připojují oddíly externího FS v režimu „mount —bind“ (například při spuštění s volbou „bwrap —ro-bind /usr /usr“ je oddíl /usr předán z hlavního systému v režimu pouze pro čtení). Síťové možnosti jsou omezeny přístupem k loopback rozhraní s izolací síťového stacku pomocí příznaků CLONE_NEWNET a CLONE_NEWUTS.
Pro vyloučení všech zbytečných identifikátorů uživatelů a procesů z vytvářeného izolovaného prostředí lze použít režimy CLONE_NEWUSER (uživatelský prostor) a CLONE_NEWPID (PID prostor), a pro zákaz získávání nových privilegií se používá režim PR_SET_NO_NEW_PRIVS. Na systémech s 'uživatelským prostorem' může Bubblewrap běžet pod běžným uživatelem, zatímco na systémech bez 'uživatelského prostoru' může být použit s příznakem suid root pro provedení potřebné inicializace izolovaného prostředí.
V novém vydání:
- Byla přidána možnost vytváření bodů připojení, kde se používá jednovrstvá souborová systém OverlayFS, kombinující několik částí jiných souborových systémů. Pro správu používání OverlayFS byly navrženy nové možnosti příkazového řádku '—overlay', '—tmp-overlay', '—ro-overlay' a '—overlay-src'.
- Byla přidána možnost '—level-prefix' pro vložení úrovně priority ve stylu syslog do diagnostického výstupu, což umožňuje používat pro zpracování výstupu takové utility jako 'logger' a 'systemd-cat'.
- Byla ukončena podpora pro sestavovací systém Autotools. Pro sestavení je nyní nutný nástroj Meson.
Zdroj: opennet.ru
