{"id":101071,"date":"2021-08-21T16:22:59","date_gmt":"2021-08-21T14:22:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bubblewrap-0-5-0-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij"},"modified":"2021-08-21T16:22:59","modified_gmt":"2021-08-21T14:22:59","slug":"vypusk-bubblewrap-0-5-0-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/vypusk-bubblewrap-0-5-0-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","title":{"rendered":"Ver\u00f6ffentlichung von Bubblewrap 0.5.0, einer Schicht zur Erstellung isolierter Umgebungen.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Version 0.5.0 des Tools zur Organisation isolierter Umgebungen Bubblewrap ist verf\u00fcgbar. Es wird in der Regel verwendet, um die Workflows von nicht privilegierten Benutzern zu begrenzen. In der Praxis wird Bubblewrap vom Flatpak-Projekt als Schicht zur Isolierung von Anwendungen, die aus Paketen gestartet werden, eingesetzt. Der Code des Projekts ist in C geschrieben und wird unter der LGPLv2+-Lizenz ver\u00f6ffentlicht. <\/p>\n
Zur Isolierung werden die traditionellen Technologien der Container-Virtualisierung f\u00fcr Linux verwendet, die auf cgroups, Namespaces, Seccomp und SELinux basieren. Um privilegierte Operationen zur Konfiguration des Containers durchzuf\u00fchren, wird Bubblewrap mit Root-Rechten (eine ausf\u00fchrbare Datei mit SUID-Flag) gestartet, gefolgt von einem Privilegienabbau nach Abschluss der Containerinitialisierung. <\/p>\n
Die Aktivierung des Benutzer-Namensraum-Identifikators (user namespaces), die es erm\u00f6glicht, separate Identifikatoren in Containern zu verwenden, ist nicht erforderlich, da sie standardm\u00e4\u00dfig in vielen Distributionen nicht funktioniert. Bubblewrap wird als eingeschr\u00e4nkte SUID-Implementierung eines Teils der Funktionen der Benutzer-Namensr\u00e4ume positioniert \u2013 dabei werden alle Identifikatoren von Benutzern und Prozessen aus der Umgebung ausgeschlossen, mit Ausnahme des aktuellen, durch die Verwendung der Modi CLONE_NEWUSER und CLONE_NEWPID. Zum zus\u00e4tzlichen Schutz werden Programme, die unter Bubblewrap ausgef\u00fchrt werden, im PR_SET_NO_NEW_PRIVS-Modus gestartet, der das Erlangen neuer Privilegien verbietet, beispielsweise im Falle eines setuid-Flags. <\/p>\n
Die Isolierung auf Dateisystemebene erfolgt durch die standardm\u00e4\u00dfige Erstellung eines neuen Mount-Namespace, in dem mit tmpfs eine leere Root-Partition erstellt wird. Bei Bedarf werden externe Dateisystempartitionen im Modus \u201emount \u2014bind\u201c angebunden (zum Beispiel wird beim Start mit der Option \u201ebwrap \u2014ro-bind \/usr \/usr\u201c die Partition \/usr aus dem Hauptsystem im Nur-Lese-Modus durchgereicht). Die Netzwerkm\u00f6glichkeiten werden auf den Zugriff auf das Loopback-Interface beschr\u00e4nkt, w\u00e4hrend der Netzwerk-Stack durch die Flags CLONE_NEWNET und CLONE_NEWUTS isoliert wird. <\/p>\n
Der entscheidende Unterschied zu einem \u00e4hnlichen Projekt wie Firejail, das ebenfalls ein setuid-Modell zur Ausf\u00fchrung nutzt, besteht darin, dass Bubblewrap nur das notwendige Minimum an Funktionen f\u00fcr die Erstellung von Containern bereitstellt. Alle erweiterten Funktionen, die f\u00fcr die Ausf\u00fchrung grafischer Anwendungen, die Interaktion mit dem Desktop und die Filterung von Anfragen an Pulseaudio erforderlich sind, sind auf die Seite von Flatpak ausgelagert und erfolgen bereits nach der Privilegienenthebung. Firejail hingegen vereint alle zugeh\u00f6rigen Funktionen in einer einzigen ausf\u00fchrbaren Datei, was die \u00dcberpr\u00fcfung und Aufrechterhaltung der Sicherheit erschwert. <\/p>\n
In der neuen Version wurden folgende Optionen hinzugef\u00fcgt: \u201e\u2014chmod\u201c zur \u00c4nderung von Berechtigungen, \u201e\u2014clearenv\u201c zum L\u00f6schen von Umgebungsvariablen (au\u00dfer PWD) und \u201e\u2014perms\u201c zur Festlegung von Berechtigungen, die bei der Ausf\u00fchrung der Operationen \u201e\u2014bind-data\u201c, \u201e\u2014dir\u201c, \u201e\u2014file\u201c, \u201e\u2014ro-bind-data\u201c und \u201e\u2014tmpfs\u201c angewendet werden. Die Diagnose von Problemen, die bei einem Fehler beim Binden auftreten, wurde verbessert. F\u00fcr zsh wurde die Unterst\u00fctzung f\u00fcr die automatische Vervollst\u00e4ndigung von Befehlen durch Dr\u00fccken der Tabulator-Taste hinzugef\u00fcgt. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"