Die Version 0.11 von Bubblewrap, einer Schicht zur Erstellung isolierter Umgebungen, wurde veröffentlicht.

Eine neue Version des Werkzeugs zur Organisation von isolierten Umgebungen Bubblewrap 0.11 wurde veröffentlicht, das zur Einschränkung bestimmter Anwendungen von nicht privilegierten Benutzern verwendet wird. In der Praxis wird Bubblewrap vom Flatpak-Projekt als Schicht zur Isolierung von Anwendungen verwendet, die aus Paketen ausgeführt werden. Zur Isolation kommen traditionelle Linux-Technologien der Container-Virtualisierung zum Einsatz, die auf der Nutzung von cgroups, Namespaces, Seccomp und SELinux basieren. Der Code des Projekts ist in C geschrieben und wird unter der Lizenz LGPLv2+ verbreitet.

Die Isolation auf Dateisystemebene erfolgt durch die standardmäßige Erstellung eines neuen Namensraums für Einhängepunkte (mount namespace), in dem durch tmpfs ein leeres Wurzelverzeichnis erstellt wird. Bei Bedarf werden externe Dateisysteme unter dem Modus „mount —bind“ an dieses Verzeichnis angehängt (z.B. wird beim Start mit der Option „bwrap —ro-bind /usr /usr“ das Verzeichnis /usr aus dem Hauptsystem im Nur-Lese-Modus weitergeleitet). Die Netzwerkfunktionen werden durch den Zugriff auf das Loopback-Interface mit Isolation des Netzwerkstapels über die Flags CLONE_NEWNET und CLONE_NEWUTS eingeschränkt.

Um alle überflüssigen Benutzer- und Prozess-IDs aus der erstellten isolierten Umgebung auszuschließen, können die Modi CLONE_NEWUSER (User-Namespace) und CLONE_NEWPID (PID-Namespace) verwendet werden, während der Modus PR_SET_NO_NEW_PRIVS angewendet wird, um das Erlangen neuer Privilegien zu verhindern. Auf Systemen mit "User-Namespace" kann Bubblewrap unter einem normalen Benutzer ausgeführt werden, während auf Systemen ohne "User-Namespace" das SUID-Root-Flag für die erforderliche Initialisierung der isolierten Umgebung verwendet werden kann.

In der neuen Version:

• Es wurde die Möglichkeit geschaffen, Mount-Punkte zu erstellen, an denen ein einlagiger Overlay-Dateisystem OverlayFS verwendet wird, das mehrere Teile anderer Dateisysteme kombiniert. Zum Management der Nutzung von OverlayFS wurden neue Optionen für die Befehlszeile eingeführt: "—overlay", "—tmp-overlay", "—ro-overlay" und "—overlay-src".
• Die Option "—level-prefix" wurde hinzugefügt, um in der Diagnoseausgabe ein Prioritätslevel im Syslog-Stil zu substituieren, was die Verwendung von Utilities wie "logger" und "systemd-cat" zur Verarbeitung der Ausgabe ermöglicht.
• Die Unterstützung für das Bauwerkzeug Autotools wurde eingestellt. Zur Erstellung wird jetzt das Werkzeug Meson benötigt.

Quelle: opennet.ru