{"id":107033,"date":"2023-03-02T06:48:15","date_gmt":"2023-03-02T04:48:15","guid":{"rendered":"https:\/\/prohoster.info\/?p=107033"},"modified":"2023-03-03T15:16:36","modified_gmt":"2023-03-03T13:16:36","slug":"vypusk-bubblewrap-0-8-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/vypusk-bubblewrap-0-8-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","title":{"rendered":"Udgivelse af Bubblewrap 0.8, et lag til at skabe isolerede milj\u00f8er.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Version 0.8 af v\u00e6rkt\u00f8jet til at organisere arbejdet med isolerede milj\u00f8er, Bubblewrap, er tilg\u00e6ngelig. Det bruges typisk til at begr\u00e6nse individuelle applikationer for ikke-privilegerede brugere. I praksis anvendes Bubblewrap af Flatpak-projektet som et lag til isolering af programmer, der k\u00f8res fra pakker. Projektets kode er skrevet i C og distribueres under LGPLv2+-licensen. <\/p>\n

Isolationen bruger traditionelle container-virtualiseringsteknologier for Linux, baseret p\u00e5 cgroups, namespaces, Seccomp og SELinux. For at udf\u00f8re privilegerede operationer til konfiguration af containeren startes Bubblewrap med root-rettigheder (eksekverbar fil med suid-flag) og f\u00e5r derefter nulstillet privilegierne efter afslutningen af containerens initialisering. <\/p>\n

Aktivering af brugernavnrum (user namespaces), der muligg\u00f8r brug af et separat s\u00e6t identifikatorer i containere, kr\u00e6ver ikke nogen handling, da det som standard ikke er aktiveret i mange distributioner. Bubblewrap markedsf\u00f8res som en begr\u00e6nset suid-implementering af et underkset af funktionerne for brugernavnrum - for at ekskludere alle bruger- og procesidentifikatorer fra milj\u00f8et, bortset fra den nuv\u00e6rende, anvendes CLONE_NEWUSER og CLONE_NEWPID-modes. For yderligere beskyttelse k\u00f8rer programmer, der udf\u00f8res under Bubblewrap, i PR_SET_NO_NEW_PRIVS-tilstand, som forhindrer erhvervelse af nye privilegier, for eksempel ved tilstedev\u00e6relse af setuid-flaget. <\/p>\n

Filsystemisoleringen sker gennem oprettelse af et nyt monteringsnavnrum (mount namespace) som standard, hvorved der oprettes en tom rodpartition ved hj\u00e6lp af tmpfs. I denne partition monteres eksterne filsystempartitioner efter behov i 'mount --bind' tilstand (for eksempel, n\u00e5r du starter med indstillingen 'bwrap --ro-bind \/usr \/usr' g\u00f8res partitionen \/usr tilg\u00e6ngelig fra hovedsystemet i skrivebeskyttet tilstand). Netv\u00e6rksmulighederne begr\u00e6nses til adgang til loopback-gr\u00e6nsefladen med isolering af netv\u00e6rksstakken via flags CLONE_NEWNET og CLONE_NEWUTS. <\/p>\n

Hovedforskellen fra det lignende projekt Firejail, som ogs\u00e5 bruger setuid-startmodel, er, at Bubblewrap-laget til oprettelse af containere kun inkluderer det n\u00f8dvendige minimum af funktioner, mens alle udvidede funktioner, der er n\u00f8dvendige for at k\u00f8re grafiske applikationer, interagere med skrivebordet og filtrere anmodninger til Pulseaudio, er overf\u00f8rt til Flatpak og udf\u00f8res f\u00f8rst efter nulstilling af privilegierne. Firejail kombinerer derimod alle tilknyttede funktioner i en eksekverbar fil, hvilket g\u00f8r det sv\u00e6rere at revidere og opretholde sikkerheden p\u00e5 et passende niveau. <\/p>\n

I den nye version: <\/p>\n