{"id":103439,"date":"2022-02-26T15:37:02","date_gmt":"2022-02-26T13:37:02","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bubblewrap-0-6-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij"},"modified":"2022-02-26T15:37:02","modified_gmt":"2022-02-26T13:37:02","slug":"vypusk-bubblewrap-0-6-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/vypusk-bubblewrap-0-6-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","title":{"rendered":"Udgivelse af Bubblewrap 0.6, lag til oprettelse af isolerede milj\u00f8er","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Udgivelsen af v\u00e6rkt\u00f8jerne til organisering af arbejdet med isolerede milj\u00f8er Bubblewrap 0.6 er tilg\u00e6ngelig. Det bruges typisk til at begr\u00e6nse enkelte applikationer fra ikke-privilegerede brugere. I praksis anvendes Bubblewrap af Flatpak-projektet som et lag til isolering af programmer, der k\u00f8res fra pakker. Koden er skrevet i C og distribueres under LGPLv2+-licensen. <\/p>\n
Isolationen bruger traditionelle container-virtualiseringsteknologier for Linux, baseret p\u00e5 cgroups, namespaces, Seccomp og SELinux. For at udf\u00f8re privilegerede operationer til konfiguration af containeren startes Bubblewrap med root-rettigheder (eksekverbar fil med suid-flag) og f\u00e5r derefter nulstillet privilegierne efter afslutningen af containerens initialisering. <\/p>\n
Aktivering af brugernavnrum (user namespaces), der muligg\u00f8r brug af et separat s\u00e6t identifikatorer i containere, kr\u00e6ver ikke nogen handling, da det som standard ikke er aktiveret i mange distributioner. Bubblewrap markedsf\u00f8res som en begr\u00e6nset suid-implementering af et underkset af funktionerne for brugernavnrum - for at ekskludere alle bruger- og procesidentifikatorer fra milj\u00f8et, bortset fra den nuv\u00e6rende, anvendes CLONE_NEWUSER og CLONE_NEWPID-modes. For yderligere beskyttelse k\u00f8rer programmer, der udf\u00f8res under Bubblewrap, i PR_SET_NO_NEW_PRIVS-tilstand, som forhindrer erhvervelse af nye privilegier, for eksempel ved tilstedev\u00e6relse af setuid-flaget. <\/p>\n
Filsystemisoleringen sker gennem oprettelse af et nyt monteringsnavnrum (mount namespace) som standard, hvorved der oprettes en tom rodpartition ved hj\u00e6lp af tmpfs. I denne partition monteres eksterne filsystempartitioner efter behov i 'mount --bind' tilstand (for eksempel, n\u00e5r du starter med indstillingen 'bwrap --ro-bind \/usr \/usr' g\u00f8res partitionen \/usr tilg\u00e6ngelig fra hovedsystemet i skrivebeskyttet tilstand). Netv\u00e6rksmulighederne begr\u00e6nses til adgang til loopback-gr\u00e6nsefladen med isolering af netv\u00e6rksstakken via flags CLONE_NEWNET og CLONE_NEWUTS. <\/p>\n
Hovedforskellen fra det lignende projekt Firejail, som ogs\u00e5 bruger setuid-startmodel, er, at Bubblewrap-laget til oprettelse af containere kun inkluderer det n\u00f8dvendige minimum af funktioner, mens alle udvidede funktioner, der er n\u00f8dvendige for at k\u00f8re grafiske applikationer, interagere med skrivebordet og filtrere anmodninger til Pulseaudio, er overf\u00f8rt til Flatpak og udf\u00f8res f\u00f8rst efter nulstilling af privilegierne. Firejail kombinerer derimod alle tilknyttede funktioner i en eksekverbar fil, hvilket g\u00f8r det sv\u00e6rere at revidere og opretholde sikkerheden p\u00e5 et passende niveau. <\/p>\n
I den nye version: <\/p>\n
\n
St\u00f8tten til build-systemet Meson er blevet tilf\u00f8jet. St\u00f8tten til bygning med Autotools er stadig bevaret, men vil blive fjernet i en af de kommende udgivelser.\n
Muligheden '--add-seccomp' er implementeret for at tilf\u00f8je mere end \u00e9t seccomp-program. Der er tilf\u00f8jet en advarsel om, at hvis muligheden '--seccomp' angives flere gange, vil kun det sidste parameter blive anvendt.\n
Master-grenen i git-repositoriet er blevet omd\u00f8bt til main.\n
Delvis support for REUSE-specifikationen er blevet tilf\u00f8jet, hvilket standardiserer processen for angivelse af oplysninger om licenser og ophavsret. Mange kodefiler har f\u00e5et tilf\u00f8jet SPDX-License-Identifier-overskrifter. At f\u00f8lge REUSE-anbefalingerne muligg\u00f8r en lettere automatisk identifikation af, hvilken licens der g\u00e6lder for hvilke dele af applikationens kode.\n
Der er tilf\u00f8jet en kontrol af v\u00e6rdien af t\u00e6lleren for kommandolinjeargumenter (argc), og der er implementeret en n\u00f8dudgang, hvis t\u00e6lleren er nul. \u00c6ndringen forhindrer sikkerhedsproblemer for\u00e5rsaget af forkert behandling af de angivne kommandolinjeargumenter, s\u00e5som CVE-2021-4034 i Polkit. <\/ul>\n