{"id":120438,"date":"2024-10-31T19:09:22","date_gmt":"2024-10-31T17:09:22","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bubblewrap-0-11-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij"},"modified":"2024-10-31T19:09:22","modified_gmt":"2024-10-31T17:09:22","slug":"vypusk-bubblewrap-0-11-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/vypusk-bubblewrap-0-11-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","title":{"rendered":"Die Version 0.11 von Bubblewrap, einer Schicht zur Erstellung isolierter Umgebungen, wurde ver\u00f6ffentlicht.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Eine neue Version des Werkzeugs zur Organisation von isolierten Umgebungen Bubblewrap 0.11 wurde ver\u00f6ffentlicht, das zur Einschr\u00e4nkung bestimmter Anwendungen von nicht privilegierten Benutzern verwendet wird. In der Praxis wird Bubblewrap vom Flatpak-Projekt als Schicht zur Isolierung von Anwendungen verwendet, die aus Paketen ausgef\u00fchrt werden. Zur Isolation kommen traditionelle Linux-Technologien der Container-Virtualisierung zum Einsatz, die auf der Nutzung von cgroups, Namespaces, Seccomp und SELinux basieren. Der Code des Projekts ist in C geschrieben und wird unter der Lizenz LGPLv2+ verbreitet. <\/p>\n
Die Isolierung auf Dateisystemebene erfolgt durch standardm\u00e4\u00dfige Erstellung eines neuen Namensraums f\u00fcr Einh\u00e4ngepunkte (mount namespace), in dem mit tmpfs eine leere Wurzelpartition erstellt wird. In diese Partition werden bei Bedarf Partitionen des externen Dateisystems im «mount —bind»-Modus angeh\u00e4ngt (zum Beispiel beim Start mit der Option «bwrap —ro-bind \/usr \/usr» wird die Partition \/usr aus dem Hauptsystem im Nur-Lese-Modus weitergereicht). Die Netzwerkf\u00e4higkeiten werden auf den Zugriff auf das Loopback-Interface mit Isolation des Netzwerkstacks durch die Flags CLONE_NEWNET und CLONE_NEWUTS eingeschr\u00e4nkt. <\/p>\n
Um alle \u00fcberfl\u00fcssigen Benutzer- und Prozess-IDs aus der erstellten isolierten Umgebung auszuschlie\u00dfen, k\u00f6nnen die Modi CLONE_NEWUSER (Benutzernamespace) und CLONE_NEWPID (PID-Namespace) verwendet werden. F\u00fcr die Verhinderung des Erwerbs neuer Berechtigungen kommt der Modus PR_SET_NO_NEW_PRIVS zum Einsatz. Auf Systemen mit \u201aBenutzernamespace\u2018 kann Bubblewrap unter einem normalen Benutzer ausgef\u00fchrt werden, w\u00e4hrend auf Systemen ohne \u201aBenutzernamespace\u2018 das Flag suid root verwendet werden kann, um die erforderliche Initialisierung der isolierten Umgebung durchzuf\u00fchren. <\/p>\n
In der neuen Version: <\/p>\n
\n
Es wurde die M\u00f6glichkeit geschaffen, Mount-Punkte zu erstellen, an denen das einlagige Dateisystem OverlayFS verwendet wird, das mehrere Teile anderer Dateisysteme kombiniert. Zur Verwaltung der Nutzung von OverlayFS wurden neue Optionen f\u00fcr die Befehlszeile \u201a\u2014overlay\u2018, \u201a\u2014tmp-overlay\u2018, \u201a\u2014ro-overlay\u2018 und \u201a\u2014overlay-src\u2018 eingef\u00fchrt.\n
Die Option \u201a\u2014level-prefix\u2018 wurde hinzugef\u00fcgt, um beim Diagnosedruck den Priorit\u00e4tslevel im syslog-Stil einzuf\u00fcgen, was die Verarbeitung der Ausgabe mit Utilities wie \u201alogger\u2018 und \u201asystemd-cat\u2018 erm\u00f6glicht.\n
Die Unterst\u00fctzung f\u00fcr das Bauwerkzeug Autotools wurde eingestellt. Zur Erstellung wird jetzt das Werkzeug Meson ben\u00f6tigt. <\/ul>\n