Udgivelsen af værktøjet til organisering af arbejdet i isolerede miljøer Bubblewrap 0.5.0 er tilgængelig. Det bruges som regel til at begrænse enkelte applikationer for ikke-privilegerede brugere. I praksis anvendes Bubblewrap af projektet Flatpak som et lag til isolering af kørende applikationer fra pakker. Projektkoden er skrevet i C og distribueres under LGPLv2+ licensen.
Isolationen bruger traditionelle container-virtualiseringsteknologier for Linux, baseret på cgroups, namespaces, Seccomp og SELinux. For at udføre privilegerede operationer til konfiguration af containeren startes Bubblewrap med root-rettigheder (eksekverbar fil med suid-flag) og får derefter nulstillet privilegierne efter afslutningen af containerens initialisering.
Aktivering af systemet med bruger-id namespaces, der tillader brug af et separat sæt identifikatorer i containerne, kræves ikke for at fungere, da det som standard ikke fungerer i mange distributioner (Bubblewrap positioneres som en begrænset suid-implementation af et subset af mulighederne fra bruger-id namespaces — for at udelukke alle bruger- og procesidentifikatorer fra miljøet, bortset fra den nuværende, anvendes CLONE_NEWUSER- og CLONE_NEWPID-tilstande). For ekstra beskyttelse køres programmer, der kører under Bubblewrap, i modus PR_SET_NO_NEW_PRIVS, der forhindrer modtagelse af nye privilegier, f.eks. når setuid-flaget er til stede.
Isolation på filsystemniveau foregår gennem oprettelsen af et nyt mount namespace som standard, hvor et tomt rodpartition oprettes ved hjælp af tmpfs. Eksterne filsystempartitioner kan tilsluttes denne partition efter behov i 'mount --bind'-tilstand (for eksempel ved opstart med muligheden 'bwrap --ro-bind /usr /usr', hvor /usr partitionen fra hovedsystemet videregives i skrivebeskyttet tilstand). Netværksmuligheder begrænses til adgang til loopback-interface med isolering af netværksstakken via flags CLONE_NEWNET og CLONE_NEWUTS.
Hovedforskellen fra det lignende projekt Firejail, som også bruger setuid-startmodel, er, at Bubblewrap-laget til oprettelse af containere kun inkluderer det nødvendige minimum af funktioner, mens alle udvidede funktioner, der er nødvendige for at køre grafiske applikationer, interagere med skrivebordet og filtrere anmodninger til Pulseaudio, er overført til Flatpak og udføres først efter nulstilling af privilegierne. Firejail kombinerer derimod alle tilknyttede funktioner i en eksekverbar fil, hvilket gør det sværere at revidere og opretholde sikkerheden på et passende niveau.
Den nye udgivelse tilbyder mulighederne: «—chmod» til ændring af adgangsrettigheder, «—clearenv» til oprydning af miljøvariabler (undtagen PWD), og «—perms» til bestemmelse af adgangsrettigheder, der anvendes ved udførelse af operationer «—bind-data», «—dir», «—file», «—ro-bind-data» og «—tmpfs». Fejldiagnosen ved fejlmontering i bind-tilstand er blevet forbedret. Støtte til autocompletion af kommandoer ved at trykke på tabulatortasten er tilføjet til zsh.
Kilde: opennet.ru
