Version von Bubblewrap 0.8, einer Schicht zur Erstellung isolierter Umgebungen

Die Veröffentlichung des Tools zur Organisation von isolierten Umgebungen Bubblewrap 0.8 ist verfügbar, das in der Regel zur Einschränkung einzelner Anwendungen unprivilegierter Benutzer verwendet wird. In der Praxis wird Bubblewrap vom Flatpak-Projekt als Schicht zur Isolation von Anwendungen, die aus Paketen gestartet werden, eingesetzt. Der Projektcode ist in C geschrieben und unter der Lizenz LGPLv2+ verbreitet.

Zur Isolation werden traditionelle Linux-Technologien der Container-Virtualisierung verwendet, die auf cgroups, Namensräumen (namespaces), Seccomp und SELinux basieren. Um privilegierte Operationen zur Konfiguration des Containers durchzuführen, wird Bubblewrap mit Root-Rechten (ausführbare Datei mit suid-Flag) gestartet, gefolgt von einem Rücksetzen der Privilegien nach Abschluss der Initialisierung des Containers.

Die Aktivierung von Benutzer-Namensräumen (user namespaces) im System, die es ermöglichen, einen eigenen separaten Satz von Identifikatoren in Containern zu verwenden, ist für den Betrieb nicht erforderlich, da dies standardmäßig in vielen Distributionen nicht funktioniert (Bubblewrap wird als eingeschränkte suid-Implementierung einer Teilmenge der Benutzer-Namensraum-Funktionen positioniert — um alle Identifikatoren von Benutzern und Prozessen aus der Umgebung auszuschließen, abgesehen vom aktuellen, werden die Modi CLONE_NEWUSER und CLONE_NEWPID verwendet). Zum zusätzlichen Schutz werden die von Bubblewrap gesteuerten Programme im PR_SET_NO_NEW_PRIVS-Modus gestartet, der den Erhalt neuer Privilegien, z.B. bei Vorhandensein des setuid-Flags, verbietet.

Die Isolation auf Dateisystemebene erfolgt durch die standardmäßige Erstellung eines neuen Namensraums für Einhängepunkte (mount namespace), in dem durch tmpfs ein leeres Wurzelverzeichnis erstellt wird. Bei Bedarf werden externe Dateisysteme unter dem Modus „mount —bind“ an dieses Verzeichnis angehängt (z.B. wird beim Start mit der Option „bwrap —ro-bind /usr /usr“ das Verzeichnis /usr aus dem Hauptsystem im Nur-Lese-Modus weitergeleitet). Die Netzwerkfunktionen werden durch den Zugriff auf das Loopback-Interface mit Isolation des Netzwerkstapels über die Flags CLONE_NEWNET und CLONE_NEWUTS eingeschränkt.

Ein wesentliches Unterscheidungsmerkmal zu dem ähnlichen Projekt Firejail, das ebenfalls ein Setuid-Startmodell verwendet, besteht darin, dass Bubblewrap in seiner Containererstellungsschicht nur das notwendige Minimum an Funktionen einbezieht, während alle erweiterten Funktionen, die für die Ausführung grafischer Anwendungen, die Interaktion mit dem Desktop und die Filterung von Anfragen an Pulseaudio erforderlich sind, auf die Seite von Flatpak verschoben werden und bereits nach der Privilegienrücksetzung ausgeführt werden. Firejail hingegen vereint alle zugehörigen Funktionen in einer ausführbaren Datei, was die Sicherheitsüberprüfung und den Erhalt eines angemessenen Sicherheitsniveaus erschwert.

In der neuen Version:

• Es wurde die Option „—disable-userns“ hinzugefügt, die die Erstellung eines eigenen eingebetteten Benutzer-ID-Raums (user namespace) in der Sandbox-Umgebung deaktiviert.
• Es wurde die Option „—assert-userns-disabled“ hinzugefügt, um zu überprüfen, dass bei Verwendung der Option „—disable-userns“ der bestehende Benutzer-ID-Raum verwendet wird.
• Die Informationsgehalte der Fehlermeldungen hinsichtlich der Deaktivierung der Kernel-Einstellungen CONFIG_SECCOMP und CONFIG_SECCOMP_FILTER wurden erhöht.

Quelle: opennet.ru