Veröffentlichung von Bubblewrap 0.11, einer Schicht zur Erstellung isolierter Umgebungen

Eine neue Version des Werkzeugsets zur Organisation isolierter Umgebungen Bubblewrap 0.11 wurde veröffentlicht. Dieses Werkzeug wird verwendet, um die Einschränkungen einzelner Anwendungen nicht privilegierter Benutzer zu steuern. In der Praxis wird Bubblewrap vom Flatpak-Projekt als Schicht zur Isolierung von aus Paket Anwendungen ausgeführten Anwendungen eingesetzt. Zur Isolation kommen traditionelle Linux-Technologien der Container-Virtualisierung zum Einsatz, die auf cgroups, Namespaces, Seccomp und SELinux basieren. Der Code des Projekts ist in C geschrieben und wird unter der LGPLv2+-Lizenz veröffentlicht.

Die Isolierung auf Dateisystemebene erfolgt durch die standardmäßige Schaffung eines neuen Mount-Namensraums, in dem mit tmpfs ein leeres Root-Dateisystem erstellt wird. Notwendige Partitionen eines externen Dateisystems werden bei Bedarf im Modus „mount —bind“ an dieses Dateisystem angehängt (zum Beispiel wird bei der Ausführung mit der Option „bwrap —ro-bind /usr /usr“ das Verzeichnis /usr aus dem Hauptsystem im Nur-Lese-Modus bereitgestellt). Die Netzwerkfunktionen beschränken sich auf den Zugang zum Loopback-Interface, während der Netzwerkstack durch die Flags CLONE_NEWNET und CLONE_NEWUTS isoliert wird.

Um alle überflüssigen Identifikatoren von Benutzern und Prozessen aus der erstellten isolierten Umgebung auszuschließen, können die Modi CLONE_NEWUSER (Benutzernamespace) und CLONE_NEWPID (PID-Namespace) verwendet werden. Zum Verhindern der Erlangung neuer Privilegien kommt der Modus PR_SET_NO_NEW_PRIVS zum Einsatz. Auf Systemen mit "Benutzernamespace" kann Bubblewrap unter einem normalen Benutzer ausgeführt werden, während auf Systemen ohne "Benutzernamespace" das Flag suid root verwendet werden kann, um die erforderliche Initialisierung der isolierten Umgebung durchzuführen.

In der neuen Version:

• Die Möglichkeit zur Erstellung von Einhängepunkten wurde hinzugefügt, in denen das einlagige Dateisystem OverlayFS verwendet wird, das mehrere Teile anderer Dateisysteme kombiniert. Neue Optionen für die Befehlszeile «—overlay», «—tmp-overlay», «—ro-overlay» und «—overlay-src» wurden vorgeschlagen, um die Verwendung von OverlayFS zu steuern.
• Die Option «—level-prefix» wurde hinzugefügt, um bei der Diagnose den Prioritätslevel im Syslog-Stil einzufügen, was die Verwendung von Tools wie «logger» und «systemd-cat» zur Verarbeitung der Ausgabe ermöglicht.
• Die Unterstützung des Build-Systems Autotools wurde eingestellt. Für den Build ist jetzt das Meson-Toolset erforderlich.

Quelle: opennet.ru