Den nye version af værktøjet til organisering af isolerede miljøer, Bubblewrap 0.11, er offentliggjort. Dette værktøj bruges til at begrænse specifikke anvendelser af uprivilegerede brugere. I praksis anvendes Bubblewrap af Flatpak-projektet som et lag til isolering af programmer, der køres fra pakker. Isoleringen sker ved hjælp af traditionelle Linux-teknologier til containervirtualisering, der er baseret på brug af cgroups, navnerum (namespaces), Seccomp og SELinux. Projektets kode er skrevet i C og distribueres under LGPLv2+-licensen.
Isolation på filsystemniveau foregår gennem oprettelsen af et nyt mount namespace som standard, hvor et tomt rodpartition oprettes ved hjælp af tmpfs. Eksterne filsystempartitioner kan tilsluttes denne partition efter behov i 'mount --bind'-tilstand (for eksempel ved opstart med muligheden 'bwrap --ro-bind /usr /usr', hvor /usr partitionen fra hovedsystemet videregives i skrivebeskyttet tilstand). Netværksmuligheder begrænses til adgang til loopback-interface med isolering af netværksstakken via flags CLONE_NEWNET og CLONE_NEWUTS.
For at undgå unødvendige bruger- og procesidentifikatorer i det oprettede isolerede miljø kan der anvendes moduserne CLONE_NEWUSER (bruger namespace) og CLONE_NEWPID (PID namespace). For at forhindre tildeling af nye privilegier anvendes modulet PR_SET_NO_NEW_PRIVS. På systemer med 'bruger namespace' kan Bubblewrap køre som en almindelig bruger, mens det på systemer uden 'bruger namespace' kan bruges med suid root-flagget for at udføre den nødvendige initialisering af det isolerede miljø.
I den nye version:
- Der er nu mulighed for at oprette monteringspunkter, der bruger det monolagede filsystem OverlayFS, som kombinerer flere dele af andre filsystemer. Nye kommandolinjeindstillinger '—overlay', '—tmp-overlay', '—ro-overlay' og '—overlay-src' er blevet foreslået til at styre brugen af OverlayFS.
- Muligheden '—level-prefix' er tilføjet for at inkludere prioritet-niveauet i diagnostisk output i syslog-stil, hvilket muliggør anvendelse af værktøjer som 'logger' og 'systemd-cat' til behandling af output.
- Understøttelsen af byggesystemet Autotools er ophørt. Til bygning kræves nu værktøjet Meson.
Kilde: opennet.ru
