{"id":120438,"date":"2024-10-31T19:09:22","date_gmt":"2024-10-31T17:09:22","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bubblewrap-0-11-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij"},"modified":"2024-10-31T19:09:22","modified_gmt":"2024-10-31T17:09:22","slug":"vypusk-bubblewrap-0-11-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/vypusk-bubblewrap-0-11-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","title":{"rendered":"Ver\u00f6ffentlichung von Bubblewrap 0.11, einer Schicht zur Erstellung isolierter Umgebungen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Eine neue Version des Werkzeugsets zur Organisation isolierter Umgebungen Bubblewrap 0.11 wurde ver\u00f6ffentlicht. Dieses Werkzeug wird verwendet, um die Einschr\u00e4nkungen einzelner Anwendungen nicht privilegierter Benutzer zu steuern. In der Praxis wird Bubblewrap vom Flatpak-Projekt als Schicht zur Isolierung von aus Paket Anwendungen ausgef\u00fchrten Anwendungen eingesetzt. Zur Isolation kommen traditionelle Linux-Technologien der Container-Virtualisierung zum Einsatz, die auf cgroups, Namespaces, Seccomp und SELinux basieren. Der Code des Projekts ist in C geschrieben und wird unter der LGPLv2+-Lizenz ver\u00f6ffentlicht. <\/p>\n
Die Isolierung auf Dateisystemebene erfolgt durch die standardm\u00e4\u00dfige Erstellung eines neuen Mount-Namespace, in dem mit tmpfs eine leere Root-Partition erstellt wird. Bei Bedarf werden externe Dateisystempartitionen im Modus \u201emount \u2014bind\u201c angebunden (zum Beispiel wird beim Start mit der Option \u201ebwrap \u2014ro-bind \/usr \/usr\u201c die Partition \/usr aus dem Hauptsystem im Nur-Lese-Modus durchgereicht). Die Netzwerkm\u00f6glichkeiten werden auf den Zugriff auf das Loopback-Interface beschr\u00e4nkt, w\u00e4hrend der Netzwerk-Stack durch die Flags CLONE_NEWNET und CLONE_NEWUTS isoliert wird. <\/p>\n
Um alle \u00fcberfl\u00fcssigen Benutzer- und Prozess-IDs aus der erstellten isolierten Umgebung auszuschlie\u00dfen, k\u00f6nnen die Modi CLONE_NEWUSER (Benutzernamespace) und CLONE_NEWPID (PID-Namespace) verwendet werden, w\u00e4hrend der Modus PR_SET_NO_NEW_PRIVS dazu dient, das Erlangen neuer Berechtigungen zu verhindern. Auf Systemen mit dem «Benutzernamespace» kann Bubblewrap unter normalen Benutzern ausgef\u00fchrt werden, w\u00e4hrend es auf Systemen ohne «Benutzernamespace» mit dem SUID-Root-Flag verwendet werden kann, um die erforderliche Initialisierung der isolierten Umgebung durchzuf\u00fchren. <\/p>\n
In der neuen Version: <\/p>\n
\n
Es wurde die M\u00f6glichkeit hinzugef\u00fcgt, Montagepunkte zu erstellen, an denen das einlagige Dateisystem OverlayFS verwendet wird, das mehrere Teile anderer Dateisysteme kombiniert. Um die Verwendung von OverlayFS zu steuern, wurden neue Optionen f\u00fcr die Befehlszeile «—overlay», «—tmp-overlay», «—ro-overlay» und «—overlay-src» angeboten.\n
Die Option «—level-prefix» wurde hinzugef\u00fcgt, um den Priorit\u00e4tslevel im Syslog-Stil in die Diagnosenausgabe einzuf\u00fcgen, was es erm\u00f6glicht, Ausgaben mit Tools wie «logger» und «systemd-cat» zu verarbeiten.\n
Die Unterst\u00fctzung des Build-Systems Autotools wurde eingestellt. F\u00fcr den Build ist jetzt das Meson-Toolset erforderlich. <\/ul>\n