{"id":107033,"date":"2023-03-02T06:48:15","date_gmt":"2023-03-02T04:48:15","guid":{"rendered":"https:\/\/prohoster.info\/?p=107033"},"modified":"2023-03-03T15:16:36","modified_gmt":"2023-03-03T13:16:36","slug":"vypusk-bubblewrap-0-8-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/vypusk-bubblewrap-0-8-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","title":{"rendered":"Ver\u00f6ffentlichung von Bubblewrap 0.8, einer Schicht zur Schaffung isolierter Umgebungen.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die neue Version des Werkzeugs zur Organisation isolierter Umgebungen, Bubblewrap 0.8, ist verf\u00fcgbar. Dieses Tool wird in der Regel verwendet, um bestimmte Anwendungen von nicht privilegierten Benutzern einzuschr\u00e4nken. In der Praxis kommt Bubblewrap im Projekt Flatpak als Schicht zur Isolierung von Anwendungen, die aus Paketen ausgef\u00fchrt werden, zum Einsatz. Der Code des Projekts ist in C geschrieben und wird unter der LGPLv2+-Lizenz ver\u00f6ffentlicht. <\/p>\n

Zur Isolierung werden die traditionellen Technologien der Container-Virtualisierung f\u00fcr Linux verwendet, die auf cgroups, Namespaces, Seccomp und SELinux basieren. Um privilegierte Operationen zur Konfiguration des Containers durchzuf\u00fchren, wird Bubblewrap mit Root-Rechten (eine ausf\u00fchrbare Datei mit SUID-Flag) gestartet, gefolgt von einem Privilegienabbau nach Abschluss der Containerinitialisierung. <\/p>\n

Die Aktivierung des Benutzer-Namensraum-Identifikators (user namespaces), die es erm\u00f6glicht, separate Identifikatoren in Containern zu verwenden, ist nicht erforderlich, da sie standardm\u00e4\u00dfig in vielen Distributionen nicht funktioniert. Bubblewrap wird als eingeschr\u00e4nkte SUID-Implementierung eines Teils der Funktionen der Benutzer-Namensr\u00e4ume positioniert \u2013 dabei werden alle Identifikatoren von Benutzern und Prozessen aus der Umgebung ausgeschlossen, mit Ausnahme des aktuellen, durch die Verwendung der Modi CLONE_NEWUSER und CLONE_NEWPID. Zum zus\u00e4tzlichen Schutz werden Programme, die unter Bubblewrap ausgef\u00fchrt werden, im PR_SET_NO_NEW_PRIVS-Modus gestartet, der das Erlangen neuer Privilegien verbietet, beispielsweise im Falle eines setuid-Flags. <\/p>\n

Die Isolierung auf Dateisystemebene erfolgt durch die standardm\u00e4\u00dfige Erstellung eines neuen Mount-Namespace, in dem mit tmpfs eine leere Root-Partition erstellt wird. Bei Bedarf werden externe Dateisystempartitionen im Modus \u201emount \u2014bind\u201c angebunden (zum Beispiel wird beim Start mit der Option \u201ebwrap \u2014ro-bind \/usr \/usr\u201c die Partition \/usr aus dem Hauptsystem im Nur-Lese-Modus durchgereicht). Die Netzwerkm\u00f6glichkeiten werden auf den Zugriff auf das Loopback-Interface beschr\u00e4nkt, w\u00e4hrend der Netzwerk-Stack durch die Flags CLONE_NEWNET und CLONE_NEWUTS isoliert wird. <\/p>\n

Der entscheidende Unterschied zu einem \u00e4hnlichen Projekt wie Firejail, das ebenfalls ein setuid-Modell zur Ausf\u00fchrung nutzt, besteht darin, dass Bubblewrap nur das notwendige Minimum an Funktionen f\u00fcr die Erstellung von Containern bereitstellt. Alle erweiterten Funktionen, die f\u00fcr die Ausf\u00fchrung grafischer Anwendungen, die Interaktion mit dem Desktop und die Filterung von Anfragen an Pulseaudio erforderlich sind, sind auf die Seite von Flatpak ausgelagert und erfolgen bereits nach der Privilegienenthebung. Firejail hingegen vereint alle zugeh\u00f6rigen Funktionen in einer einzigen ausf\u00fchrbaren Datei, was die \u00dcberpr\u00fcfung und Aufrechterhaltung der Sicherheit erschwert. <\/p>\n

In der neuen Version: <\/p>\n