{"id":103439,"date":"2022-02-26T15:37:02","date_gmt":"2022-02-26T13:37:02","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bubblewrap-0-6-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij"},"modified":"2022-02-26T15:37:02","modified_gmt":"2022-02-26T13:37:02","slug":"vypusk-bubblewrap-0-6-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/vypusk-bubblewrap-0-6-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","title":{"rendered":"Ver\u00f6ffentlichung von Bubblewrap 0.6, einer Schicht zum Erstellen isolierter Umgebungen.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Version des Tools zur Organisation isolierter Umgebungen, Bubblewrap 0.6, ist verf\u00fcgbar und wird in der Regel zur Einschr\u00e4nkung einzelner Anwendungen von nicht privilegierten Benutzern verwendet. In der Praxis wird Bubblewrap von dem Flatpak-Projekt als Schicht zur Isolierung von Anwendungen, die aus Paketen gestartet werden, eingesetzt. Der Projektcode ist in C geschrieben und unter der LGPLv2+-Lizenz erh\u00e4ltlich. <\/p>\n
Zur Isolation werden traditionelle Linux-Technologien der Container-Virtualisierung verwendet, die auf cgroups, Namensr\u00e4umen (namespaces), Seccomp und SELinux basieren. Um privilegierte Operationen zur Konfiguration des Containers durchzuf\u00fchren, wird Bubblewrap mit Root-Rechten (ausf\u00fchrbare Datei mit suid-Flag) gestartet, gefolgt von einem R\u00fccksetzen der Privilegien nach Abschluss der Initialisierung des Containers. <\/p>\n
Die Aktivierung des Benutzernamensraum-Identifikators (user namespaces) ist nicht erforderlich, da sie standardm\u00e4\u00dfig in vielen Distributionen nicht funktioniert. Bubblewrap wird als eingeschr\u00e4nkte SUID-Implementierung eines Teilsets der M\u00f6glichkeiten von User Namespaces positioniert, um alle Benutzer- und Prozess-IDs aus der Umgebung, au\u00dfer der aktuellen, auszuschlie\u00dfen; dabei werden die Modi CLONE_NEWUSER und CLONE_NEWPID verwendet. Zum zus\u00e4tzlichen Schutz werden Programme, die unter Bubblewrap ausgef\u00fchrt werden, im PR_SET_NO_NEW_PRIVS-Modus gestartet, der das Erlangen neuer Privilegien verbietet, beispielsweise bei aktivem Setuid-Flag. <\/p>\n
Die Isolierung auf Dateisystemebene erfolgt durch standardm\u00e4\u00dfige Erstellung eines neuen Namensraums f\u00fcr Einh\u00e4ngepunkte (mount namespace), in dem mit tmpfs eine leere Wurzelpartition erstellt wird. In diese Partition werden bei Bedarf Partitionen des externen Dateisystems im «mount —bind»-Modus angeh\u00e4ngt (zum Beispiel beim Start mit der Option «bwrap —ro-bind \/usr \/usr» wird die Partition \/usr aus dem Hauptsystem im Nur-Lese-Modus weitergereicht). Die Netzwerkf\u00e4higkeiten werden auf den Zugriff auf das Loopback-Interface mit Isolation des Netzwerkstacks durch die Flags CLONE_NEWNET und CLONE_NEWUTS eingeschr\u00e4nkt. <\/p>\n
Ein wesentliches Unterscheidungsmerkmal zu dem \u00e4hnlichen Projekt Firejail, das ebenfalls ein Setuid-Startmodell verwendet, besteht darin, dass Bubblewrap in seiner Containererstellungsschicht nur das notwendige Minimum an Funktionen einbezieht, w\u00e4hrend alle erweiterten Funktionen, die f\u00fcr die Ausf\u00fchrung grafischer Anwendungen, die Interaktion mit dem Desktop und die Filterung von Anfragen an Pulseaudio erforderlich sind, auf die Seite von Flatpak verschoben werden und bereits nach der Privilegienr\u00fccksetzung ausgef\u00fchrt werden. Firejail hingegen vereint alle zugeh\u00f6rigen Funktionen in einer ausf\u00fchrbaren Datei, was die Sicherheits\u00fcberpr\u00fcfung und den Erhalt eines angemessenen Sicherheitsniveaus erschwert. <\/p>\n
In der neuen Version: <\/p>\n
\n
Die Unterst\u00fctzung des Build-Systems Meson wurde hinzugef\u00fcgt. Die Unterst\u00fctzung f\u00fcr den Build mit Autotools bleibt vorerst erhalten, wird aber in einer der n\u00e4chsten Versionen entfernt.\n
Die Option «—add-seccomp» wurde implementiert, um mehrere seccomp-Programme hinzuzuf\u00fcgen. Eine Warnung wurde hinzugef\u00fcgt, dass bei mehrfacher Angabe der Option «—seccomp» nur der letzte Parameter angewendet wird.\n
Der Master-Zweig im Git-Repository wurde in main umbenannt.\n
Teilweise Unterst\u00fctzung der REUSE-Spezifikation wurde hinzugef\u00fcgt, die den Prozess der Angabe von Lizenz- und Urheberrechtsinformationen vereinheitlicht. In viele Quellcode-Dateien wurden SPDX-License-Identifier-Header eingef\u00fcgt. Die Einhaltung der REUSE-Empfehlungen erleichtert die automatische Bestimmung, welche Lizenz auf welche Teile des Anwendungscodes angewendet wird.\n
Eine \u00dcberpr\u00fcfung des Wertes des Z\u00e4hlers der Kommandozeilenargumente (argc) wurde hinzugef\u00fcgt, und ein sofortiger Ausstieg wurde implementiert, falls der Z\u00e4hler null betr\u00e4gt. Diese \u00c4nderung hilft, Sicherheitsprobleme zu blockieren, die durch unsachgem\u00e4\u00dfe Verarbeitung \u00fcbergebener Kommandozeilenargumente verursacht werden, wie CVE-2021-4034 in Polkit. <\/ul>\n