{"id":103439,"date":"2022-02-26T15:37:02","date_gmt":"2022-02-26T13:37:02","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bubblewrap-0-6-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij"},"modified":"2022-02-26T15:37:02","modified_gmt":"2022-02-26T13:37:02","slug":"vypusk-bubblewrap-0-6-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/vypusk-bubblewrap-0-6-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","title":{"rendered":"Ver\u00f6ffentlichung von Bubblewrap 0.6, einer Schicht zur Erstellung isolierter Umgebungen.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Ver\u00f6ffentlichung des Toolkit zur Organisation der Arbeit in isolierten Umgebungen mit Bubblewrap 0.6 ist verf\u00fcgbar. Dieses wird in der Regel verwendet, um einzelne Anwendungen von nicht privilegierten Benutzern einzuschr\u00e4nken. In der Praxis wird Bubblewrap im Projekt Flatpak als Schicht zur Isolierung von aus Paket-Anwendungen gestarteten Programmen eingesetzt. Der Code des Projekts ist in C geschrieben und wird unter der Lizenz LGPLv2+ vertrieben. <\/p>\n
Zur Isolierung werden die traditionellen Technologien der Container-Virtualisierung f\u00fcr Linux verwendet, die auf cgroups, Namespaces, Seccomp und SELinux basieren. Um privilegierte Operationen zur Konfiguration des Containers durchzuf\u00fchren, wird Bubblewrap mit Root-Rechten (eine ausf\u00fchrbare Datei mit SUID-Flag) gestartet, gefolgt von einem Privilegienabbau nach Abschluss der Containerinitialisierung. <\/p>\n
Die Aktivierung des Benutzer-Namensraum-Identifikators (user namespaces), die es erm\u00f6glicht, separate Identifikatoren in Containern zu verwenden, ist nicht erforderlich, da sie standardm\u00e4\u00dfig in vielen Distributionen nicht funktioniert. Bubblewrap wird als eingeschr\u00e4nkte SUID-Implementierung eines Teils der Funktionen der Benutzer-Namensr\u00e4ume positioniert \u2013 dabei werden alle Identifikatoren von Benutzern und Prozessen aus der Umgebung ausgeschlossen, mit Ausnahme des aktuellen, durch die Verwendung der Modi CLONE_NEWUSER und CLONE_NEWPID. Zum zus\u00e4tzlichen Schutz werden Programme, die unter Bubblewrap ausgef\u00fchrt werden, im PR_SET_NO_NEW_PRIVS-Modus gestartet, der das Erlangen neuer Privilegien verbietet, beispielsweise im Falle eines setuid-Flags. <\/p>\n
Die Isolierung auf Dateisystemebene erfolgt durch die standardm\u00e4\u00dfige Erstellung eines neuen Mount-Namespace, in dem mit tmpfs eine leere Root-Partition erstellt wird. Bei Bedarf werden externe Dateisystempartitionen im Modus \u201emount \u2014bind\u201c angebunden (zum Beispiel wird beim Start mit der Option \u201ebwrap \u2014ro-bind \/usr \/usr\u201c die Partition \/usr aus dem Hauptsystem im Nur-Lese-Modus durchgereicht). Die Netzwerkm\u00f6glichkeiten werden auf den Zugriff auf das Loopback-Interface beschr\u00e4nkt, w\u00e4hrend der Netzwerk-Stack durch die Flags CLONE_NEWNET und CLONE_NEWUTS isoliert wird. <\/p>\n
Der entscheidende Unterschied zu einem \u00e4hnlichen Projekt wie Firejail, das ebenfalls ein setuid-Modell zur Ausf\u00fchrung nutzt, besteht darin, dass Bubblewrap nur das notwendige Minimum an Funktionen f\u00fcr die Erstellung von Containern bereitstellt. Alle erweiterten Funktionen, die f\u00fcr die Ausf\u00fchrung grafischer Anwendungen, die Interaktion mit dem Desktop und die Filterung von Anfragen an Pulseaudio erforderlich sind, sind auf die Seite von Flatpak ausgelagert und erfolgen bereits nach der Privilegienenthebung. Firejail hingegen vereint alle zugeh\u00f6rigen Funktionen in einer einzigen ausf\u00fchrbaren Datei, was die \u00dcberpr\u00fcfung und Aufrechterhaltung der Sicherheit erschwert. <\/p>\n
In der neuen Version: <\/p>\n
\n
Unterst\u00fctzung des Build-Systems Meson hinzugef\u00fcgt. Die Unterst\u00fctzung des Builds mit Autotools bleibt vorerst erhalten, wird jedoch in einer der n\u00e4chsten Versionen entfernt.\n
Die Option «—add-seccomp» wurde eingef\u00fchrt, um mehr als ein seccomp-Programm hinzuzuf\u00fcgen. Es wurde eine Warnung hinzugef\u00fcgt, dass bei mehrfacher Angabe der Option «—seccomp» nur der letzte Parameter angewendet wird.\n
Der Master-Zweig im Git-Repository wurde in Main umbenannt.\n
Teilweise Unterst\u00fctzung der REUSE-Spezifikation hinzugef\u00fcgt, die den Prozess der Angabe von Lizenz- und Urheberrechtsinformationen vereinheitlicht. In viele Code-Dateien wurden SPDX-License-Identifier-Header eingef\u00fcgt. Die Einhaltung der REUSE-Empfehlungen erleichtert die automatische Bestimmung, welche Lizenz f\u00fcr welche Teile des Anwendungscodes gilt.\n
Die \u00dcberpr\u00fcfung des Werts des Arguments des Kommandozeilenz\u00e4hlers (argc) wurde hinzugef\u00fcgt und ein Notausgang implementiert, wenn der Z\u00e4hler null betr\u00e4gt. Diese \u00c4nderung hilft, Sicherheitsprobleme zu vermeiden, die durch eine fehlerhafte Verarbeitung der \u00fcbergebenen Kommandozeilenargumente entstehen, wie z. B. CVE-2021-4034 in Polkit. <\/ul>\n