{"id":107033,"date":"2023-03-02T06:48:15","date_gmt":"2023-03-02T04:48:15","guid":{"rendered":"https:\/\/prohoster.info\/?p=107033"},"modified":"2023-03-03T15:16:36","modified_gmt":"2023-03-03T13:16:36","slug":"vypusk-bubblewrap-0-8-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/vypusk-bubblewrap-0-8-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","title":{"rendered":"Version von Bubblewrap 0.8, einer Schicht zur Erstellung isolierter Umgebungen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die Ver\u00f6ffentlichung des Tools zur Organisation von isolierten Umgebungen Bubblewrap 0.8 ist verf\u00fcgbar, das in der Regel zur Einschr\u00e4nkung einzelner Anwendungen unprivilegierter Benutzer verwendet wird. In der Praxis wird Bubblewrap vom Flatpak-Projekt als Schicht zur Isolation von Anwendungen, die aus Paketen gestartet werden, eingesetzt. Der Projektcode ist in C geschrieben und unter der Lizenz LGPLv2+ verbreitet. <\/p>\n

Zur Isolation werden traditionelle Linux-Technologien der Container-Virtualisierung verwendet, die auf cgroups, Namensr\u00e4umen (namespaces), Seccomp und SELinux basieren. Um privilegierte Operationen zur Konfiguration des Containers durchzuf\u00fchren, wird Bubblewrap mit Root-Rechten (ausf\u00fchrbare Datei mit suid-Flag) gestartet, gefolgt von einem R\u00fccksetzen der Privilegien nach Abschluss der Initialisierung des Containers. <\/p>\n

Die Aktivierung des Benutzernamensraum-Identifikators (user namespaces) ist nicht erforderlich, da sie standardm\u00e4\u00dfig in vielen Distributionen nicht funktioniert. Bubblewrap wird als eingeschr\u00e4nkte SUID-Implementierung eines Teilsets der M\u00f6glichkeiten von User Namespaces positioniert, um alle Benutzer- und Prozess-IDs aus der Umgebung, au\u00dfer der aktuellen, auszuschlie\u00dfen; dabei werden die Modi CLONE_NEWUSER und CLONE_NEWPID verwendet. Zum zus\u00e4tzlichen Schutz werden Programme, die unter Bubblewrap ausgef\u00fchrt werden, im PR_SET_NO_NEW_PRIVS-Modus gestartet, der das Erlangen neuer Privilegien verbietet, beispielsweise bei aktivem Setuid-Flag. <\/p>\n

Die Isolierung auf Dateisystemebene erfolgt durch standardm\u00e4\u00dfige Erstellung eines neuen Namensraums f\u00fcr Einh\u00e4ngepunkte (mount namespace), in dem mit tmpfs eine leere Wurzelpartition erstellt wird. In diese Partition werden bei Bedarf Partitionen des externen Dateisystems im «mount —bind»-Modus angeh\u00e4ngt (zum Beispiel beim Start mit der Option «bwrap —ro-bind \/usr \/usr» wird die Partition \/usr aus dem Hauptsystem im Nur-Lese-Modus weitergereicht). Die Netzwerkf\u00e4higkeiten werden auf den Zugriff auf das Loopback-Interface mit Isolation des Netzwerkstacks durch die Flags CLONE_NEWNET und CLONE_NEWUTS eingeschr\u00e4nkt. <\/p>\n

Ein wesentliches Unterscheidungsmerkmal zu dem \u00e4hnlichen Projekt Firejail, das ebenfalls ein Setuid-Startmodell verwendet, besteht darin, dass Bubblewrap in seiner Containererstellungsschicht nur das notwendige Minimum an Funktionen einbezieht, w\u00e4hrend alle erweiterten Funktionen, die f\u00fcr die Ausf\u00fchrung grafischer Anwendungen, die Interaktion mit dem Desktop und die Filterung von Anfragen an Pulseaudio erforderlich sind, auf die Seite von Flatpak verschoben werden und bereits nach der Privilegienr\u00fccksetzung ausgef\u00fchrt werden. Firejail hingegen vereint alle zugeh\u00f6rigen Funktionen in einer ausf\u00fchrbaren Datei, was die Sicherheits\u00fcberpr\u00fcfung und den Erhalt eines angemessenen Sicherheitsniveaus erschwert. <\/p>\n

In der neuen Version: <\/p>\n