Bubblewrap 0.5.0 Veröffentlichung, Schichten zur Erstellung isolierter Umgebungen

Die Veröffentlichung des Tools zur Organisation von isolierten Umgebungen Bubblewrap 0.5.0 steht zur Verfügung, das in der Regel zur Einschränkung bestimmter Anwendungen von nicht privilegierten Benutzern verwendet wird. In der Praxis wird Bubblewrap von dem Projekt Flatpak als Schicht zur Isolation von Anwendungen, die aus Paketen gestartet werden, verwendet. Der Projektcode ist in der Programmiersprache C geschrieben und unter der Lizenz LGPLv2+ verfügbar.

Zur Isolation werden traditionelle Linux-Technologien der Container-Virtualisierung verwendet, die auf cgroups, Namensräumen (namespaces), Seccomp und SELinux basieren. Um privilegierte Operationen zur Konfiguration des Containers durchzuführen, wird Bubblewrap mit Root-Rechten (ausführbare Datei mit suid-Flag) gestartet, gefolgt von einem Rücksetzen der Privilegien nach Abschluss der Initialisierung des Containers.

Die Aktivierung von Benutzer-Namensräumen (user namespaces) im System, die es ermöglichen, einen eigenen separaten Satz von Identifikatoren in Containern zu verwenden, ist für den Betrieb nicht erforderlich, da dies standardmäßig in vielen Distributionen nicht funktioniert (Bubblewrap wird als eingeschränkte suid-Implementierung einer Teilmenge der Benutzer-Namensraum-Funktionen positioniert — um alle Identifikatoren von Benutzern und Prozessen aus der Umgebung auszuschließen, abgesehen vom aktuellen, werden die Modi CLONE_NEWUSER und CLONE_NEWPID verwendet). Zum zusätzlichen Schutz werden die von Bubblewrap gesteuerten Programme im PR_SET_NO_NEW_PRIVS-Modus gestartet, der den Erhalt neuer Privilegien, z.B. bei Vorhandensein des setuid-Flags, verbietet.

Die Isolation auf Dateisystemebene erfolgt durch die standardmäßige Erstellung eines neuen Namensraums für Einhängepunkte (mount namespace), in dem durch tmpfs ein leeres Wurzelverzeichnis erstellt wird. Bei Bedarf werden externe Dateisysteme unter dem Modus „mount —bind“ an dieses Verzeichnis angehängt (z.B. wird beim Start mit der Option „bwrap —ro-bind /usr /usr“ das Verzeichnis /usr aus dem Hauptsystem im Nur-Lese-Modus weitergeleitet). Die Netzwerkfunktionen werden durch den Zugriff auf das Loopback-Interface mit Isolation des Netzwerkstapels über die Flags CLONE_NEWNET und CLONE_NEWUTS eingeschränkt.

Ein wesentliches Unterscheidungsmerkmal zu dem ähnlichen Projekt Firejail, das ebenfalls ein Setuid-Startmodell verwendet, besteht darin, dass Bubblewrap in seiner Containererstellungsschicht nur das notwendige Minimum an Funktionen einbezieht, während alle erweiterten Funktionen, die für die Ausführung grafischer Anwendungen, die Interaktion mit dem Desktop und die Filterung von Anfragen an Pulseaudio erforderlich sind, auf die Seite von Flatpak verschoben werden und bereits nach der Privilegienrücksetzung ausgeführt werden. Firejail hingegen vereint alle zugehörigen Funktionen in einer ausführbaren Datei, was die Sicherheitsüberprüfung und den Erhalt eines angemessenen Sicherheitsniveaus erschwert.

In der neuen Version werden Optionen angeboten: „—chmod“ zur Änderung von Zugriffsrechten, „—clearenv“ zum Löschen von Umgebungsvariablen (außer PWD) und „—perms“ zur Bestimmung der Zugriffsrechte, die bei der Ausführung der Befehle „—bind-data“, „—dir“, „—file“, „—ro-bind-data“ und „—tmpfs“ angewendet werden. Die Diagnosen von Problemen, die beim Binden des Mounts auftreten, wurden verbessert. Für zsh wurde die Unterstützung der Befehlsvervollständigung durch Drücken der Tabulatortaste hinzugefügt.

Quelle: opennet.ru