{"id":53324,"date":"2019-11-29T00:00:00","date_gmt":"2019-11-28T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/vypusk-bubblewrap-0-4-0-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij"},"modified":"2020-02-18T14:01:13","modified_gmt":"2020-02-18T11:01:13","slug":"vypusk-bubblewrap-0-4-0-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/vypusk-bubblewrap-0-4-0-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","title":{"rendered":"Ver\u00f6ffentlichung von Bubblewrap 0.4.0, einem Layer zum Erstellen isolierter Umgebungen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Verf\u00fcgbar<\/a><\/noindex> neue Version des Tools Bubblewrap 0.4.0<\/a><\/noindex>, das f\u00fcr die Organisation von isolierten Umgebungen unter Linux gedacht ist und auf der Anwendungsebene f\u00fcr nicht privilegierte Benutzer funktioniert. In der Praxis wird Bubblewrap vom Flatpak-Projekt als Schicht zur Isolierung von Anwendungen verwendet, die aus Paketen gestartet werden. Der Code des Projekts ist in C geschrieben und wird unter der GPLv3-Lizenz bereitgestellt.<\/a><\/noindex> unter der LGPLv2+-Lizenz.<\/p>\n

Zur Isolierung werden die traditionellen Technologien der Container-Virtualisierung f\u00fcr Linux verwendet, die auf cgroups, Namespaces, Seccomp und SELinux basieren. Um privilegierte Operationen zur Konfiguration des Containers durchzuf\u00fchren, wird Bubblewrap mit Root-Rechten (eine ausf\u00fchrbare Datei mit SUID-Flag) gestartet, gefolgt von einem Privilegienabbau nach Abschluss der Containerinitialisierung. <\/p>\n

Die Aktivierung des Benutzer-Namespaces (user namespaces), die es erm\u00f6glicht, in Containern eine eigene, separate Identifikatorensammlung zu verwenden, ist nicht erforderlich, da sie in vielen Distributionen standardm\u00e4\u00dfig nicht funktioniert (Bubblewrap wird als eingeschr\u00e4nkte SUID-Implementierung eines Teilmengen der Funktionen von Benutzer-Namespaces positioniert - um alle Benutzer- und Prozessidentifikatoren aus der Umgebung, au\u00dfer dem aktuellen, auszuschlie\u00dfen, werden die Modi CLONE_NEWUSER und CLONE_NEWPID verwendet). Zur zus\u00e4tzlichen Sicherheit werden die ausgef\u00fchrten Prozesse \u00fcberwacht.
\n Bubblewrap ausgef\u00fchrt werden, im PR_SET_NO_NEW_PRIVS-Modus gestartet, der das Erlangen neuer Privilegien verbietet, beispielsweise wenn das setuid-Flag gesetzt ist. <\/p>\n

Die Isolierung auf Dateisystemebene erfolgt durch die standardm\u00e4\u00dfige Erstellung eines neuen Mount-Namespace, in dem mit tmpfs eine leere Root-Partition erstellt wird. Bei Bedarf werden externe Dateisystempartitionen im Modus \u201emount \u2014bind\u201c angebunden (zum Beispiel wird beim Start mit der Option \u201ebwrap \u2014ro-bind \/usr \/usr\u201c die Partition \/usr aus dem Hauptsystem im Nur-Lese-Modus durchgereicht). Die Netzwerkm\u00f6glichkeiten werden auf den Zugriff auf das Loopback-Interface beschr\u00e4nkt, w\u00e4hrend der Netzwerk-Stack durch die Flags CLONE_NEWNET und CLONE_NEWUTS isoliert wird.<\/p>\n

Ein wesentliches Unterscheidungsmerkmal zu einem \u00e4hnlichen Projekt Firejail<\/a><\/noindex>, der ebenfalls ein Startmodell mit setuid verwendet, besteht darin, dass die Bubbleswrap-Schicht zur Erstellung von Containern nur das notwendige Minimum an Funktionen enth\u00e4lt, w\u00e4hrend alle erweiterten Funktionen, die zum Ausf\u00fchren von grafischen Anwendungen, zur Interaktion mit dem Desktop und zur Filterung von Anfragen an Pulseaudio erforderlich sind, auf die Seite von Flatpak verschoben werden und nach dem Entziehen der Berechtigungen ausgef\u00fchrt werden. Firejail hingegen vereint alle zugeh\u00f6rigen Funktionen in einer ausf\u00fchrbaren Datei, was die \u00dcberpr\u00fcfung und die Sicherheitswartung erschwert. auf<\/a><\/noindex>.<\/p>\n

Die neue Version zeichnet sich durch die Implementierung der Unterst\u00fctzung f\u00fcr die Verbindung bestehender Benutzer-Namespaces (user namespaces) und Prozess-Namespaces (pid namespaces) aus. Zur Verwaltung der Verbindung von Namespaces wurden die Flags \u201e\u2014userns\u201c, \u201e\u2014userns2\u201c und \u201e\u2014pidns\u201c hinzugef\u00fcgt.
\nDiese Funktion funktioniert nicht im setuid-Modus und erfordert die Verwendung eines separaten Modus, der ohne Root-Rechte arbeiten kann, jedoch die Aktivierung von
\nBenutzernamespace in dem System voraussetzt (standardm\u00e4\u00dfig in Debian und RHEL\/CentOS deaktiviert) und schlie\u00dft nicht aus, dass Betriebsf\u00fchrung<\/a><\/noindex> potenziell<\/a><\/noindex> verbleibend<\/a><\/noindex> Schwachstellen<\/a><\/noindex> f\u00fcr den Rahmen der \u201euser namespaces\u201c Beschr\u00e4nkungen. Zu den neuen Funktionen von Bubblewrap 0.4 z\u00e4hlt auch die M\u00f6glichkeit, mit der C-Bibliothek musl anstelle von glibc zu kompilieren, sowie die Unterst\u00fctzung zur Speicherung von Namespace-Informationen in einer Datei im Statistikformat JSON.<\/p>\n

<\/a><\/noindex><\/p>\n

Quelle: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0414\u043e\u0441\u0442\u0443\u043f\u0435\u043d \u043d\u043e\u0432\u044b\u0439 \u0432\u044b\u043f\u0443\u0441\u043a \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u044f Bubblewrap 0.4.0, \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u043d\u043e\u0433\u043e \u0434\u043b\u044f \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438 \u0440\u0430\u0431\u043e\u0442\u044b \u0438\u0437\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u0439 \u0432 Linux \u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0438\u0440\u0443\u044e\u0449\u0438\u0439 \u043d\u0430 \u0443\u0440\u043e\u0432\u043d\u0435 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439 \u043d\u0435\u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439. \u041d\u0430 \u043f\u0440\u0430\u043a\u0442\u0438\u043a\u0435 Bubblewrap \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u043c Flatpak \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043f\u0440\u043e\u0441\u043b\u043e\u0439\u043a\u0438 \u0434\u043b\u044f \u0438\u0437\u043e\u043b\u044f\u0446\u0438\u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u043c\u044b\u0445 \u0438\u0437 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439. \u041a\u043e\u0434 \u043f\u0440\u043e\u0435\u043a\u0442\u0430 \u043d\u0430\u043f\u0438\u0441\u0430\u043d \u043d\u0430 \u044f\u0437\u044b\u043a\u0435 \u0421\u0438 \u0438 \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u044f\u0435\u0442\u0441\u044f \u043f\u043e\u0434 \u043b\u0438\u0446\u0435\u043d\u0437\u0438\u0435\u0439 LGPLv2+. \u0414\u043b\u044f \u0438\u0437\u043e\u043b\u044f\u0446\u0438\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f \u0442\u0440\u0430\u0434\u0438\u0446\u0438\u043e\u043d\u043d\u044b\u0435 \u0434\u043b\u044f Linux \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u0438 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043d\u043e\u0439 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-53324","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 Ver\u00f6ffentlichung von Bubblewrap 0.4.0, einer Schicht zur Erstellung isolierter Umgebungen | ProHoster","description":"Eine neue Version des Tools ist verf\u00fcgbar","canonical_url":"https:\/\/prohoster.info\/de\/blog\/news\/vypusk-bubblewrap-0-4-0-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412\u044b\u043f\u0443\u0441\u043a Bubblewrap 0.4.0, \u043f\u0440\u043e\u0441\u043b\u043e\u0439\u043a\u0438 \u0434\u043b\u044f \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0438\u0437\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u0439 | ProHoster","og:description":"\u0414\u043e\u0441\u0442\u0443\u043f\u0435\u043d \u043d\u043e\u0432\u044b\u0439 \u0432\u044b\u043f\u0443\u0441\u043a \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u044f","og:url":"https:\/\/prohoster.info\/de\/blog\/news\/vypusk-bubblewrap-0-4-0-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-11-28T21:00:00+00:00","article:modified_time":"2020-02-18T11:01:13+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"53324","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-24 06:56:20","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:27:38","updated":"2026-01-24 06:56:20","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/53324","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=53324"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/53324\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=53324"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=53324"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=53324"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}