{"id":103439,"date":"2022-02-26T15:37:02","date_gmt":"2022-02-26T13:37:02","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bubblewrap-0-6-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij"},"modified":"2022-02-26T15:37:02","modified_gmt":"2022-02-26T13:37:02","slug":"vypusk-bubblewrap-0-6-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/vypusk-bubblewrap-0-6-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","title":{"rendered":"Lanzamiento de Bubblewrap 0.6, una capa para crear entornos aislados","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Est\u00e1 disponible la versi\u00f3n de la herramienta para la organizaci\u00f3n del trabajo en entornos aislados Bubblewrap 0.6, que generalmente se utiliza para limitar aplicaciones individuales de usuarios no privilegiados. En la pr\u00e1ctica, Bubblewrap es utilizado por el proyecto Flatpak como una capa para la aislamiento de aplicaciones ejecutadas desde paquetes. El c\u00f3digo del proyecto est\u00e1 escrito en lenguaje C y se distribuye bajo la licencia LGPLv2+. <\/p>\n
Para la isolaci\u00f3n se utilizan tecnolog\u00edas tradicionales de virtualizaci\u00f3n de contenedores en Linux, basadas en el uso de cgroups, espacios de nombres (namespaces), Seccomp y SELinux. Para realizar operaciones privilegiadas de configuraci\u00f3n del contenedor, Bubblewrap se ejecuta con privilegios de root (archivo ejecutable con el flag suid) con posterior eliminaci\u00f3n de privilegios despu\u00e9s de completar la inicializaci\u00f3n del contenedor. <\/p>\n
La activaci\u00f3n en el sistema de espacios de nombres de identificadores de usuario (user namespaces), que permite utilizar en contenedores un conjunto de identificadores separado, no es necesaria, ya que por defecto no funciona en muchas distribuciones (Bubblewrap se presenta como una implementaci\u00f3n suid limitada de un subconjunto de las capacidades de los espacios de nombres de usuario para excluir todos los identificadores de usuarios y procesos del entorno, excepto el actual, utilizando los modos CLONE_NEWUSER y CLONE_NEWPID). Para mayor protecci\u00f3n, los programas ejecutados bajo Bubblewrap se inician en modo PR_SET_NO_NEW_PRIVS, que proh\u00edbe la obtenci\u00f3n de nuevos privilegios, por ejemplo, en presencia de la bandera setuid. <\/p>\n
La aislamiento a nivel de sistema de archivos se realiza mediante la creaci\u00f3n por defecto de un nuevo espacio de nombres de puntos de montaje (mount namespace), en el que se crea una ra\u00edz vac\u00eda utilizando tmpfs. A este sistema se le pueden acoplar particiones de un sistema de archivos externo en modo 'mount --bind' (por ejemplo, al iniciar con la opci\u00f3n 'bwrap --ro-bind \/usr \/usr', el sistema \/usr se pasa desde el sistema principal en modo de solo lectura). Las capacidades de red se limitan al acceso a la interfaz loopback con aislamiento de la pila de red a trav\u00e9s de las banderas CLONE_NEWNET y CLONE_NEWUTS. <\/p>\n
La principal diferencia con respecto a un proyecto similar, Firejail, que tambi\u00e9n utiliza un modelo de lanzamiento con setuid, es que en Bubblewrap la capa para crear contenedores incluye solo el m\u00ednimo necesario de capacidades, mientras que todas las funciones extendidas requeridas para ejecutar aplicaciones gr\u00e1ficas, interactuar con el escritorio y filtrar las llamadas a Pulseaudio se manejan del lado de Flatpak y se ejecutan despu\u00e9s de la eliminaci\u00f3n de privilegios. Firejail, por otro lado, combina todas las funciones complementarias en un solo ejecutable, lo que dificulta su auditor\u00eda y el mantenimiento de un nivel adecuado de seguridad. <\/p>\n
En esta nueva versi\u00f3n: <\/p>\n
\n
Se ha a\u00f1adido soporte para el sistema de construcci\u00f3n Meson. El soporte para la compilaci\u00f3n usando Autotools a\u00fan se conserva, pero se eliminar\u00e1 en una de las pr\u00f3ximas versiones.\n
Se ha implementado la opci\u00f3n '--add-seccomp' para a\u00f1adir m\u00e1s de un programa seccomp. Se ha agregado una advertencia indicando que al especificar nuevamente la opci\u00f3n '--seccomp', solo se aplicar\u00e1 el \u00faltimo par\u00e1metro.\n
La rama master en el repositorio git ha sido renombrada a main.\n
Se ha a\u00f1adido un soporte parcial para la especificaci\u00f3n REUSE, que unifica el proceso de indicaci\u00f3n de informaci\u00f3n sobre licencias y derechos de autor. Se han a\u00f1adido encabezados SPDX-License-Identifier a muchos archivos de c\u00f3digo. Seguir las recomendaciones de REUSE permite simplificar la identificaci\u00f3n autom\u00e1tica de qu\u00e9 licencia se aplica a cu\u00e1les partes del c\u00f3digo de la aplicaci\u00f3n.\n
Se ha a\u00f1adido una verificaci\u00f3n del valor del contador de argumentos de l\u00ednea de comandos (argc) y se ha implementado una salida de emergencia en caso de que el contador sea cero. Este cambio permite bloquear problemas de seguridad causados por un manejo incorrecto de los argumentos de l\u00ednea de comandos pasados, como el CVE-2021-4034 en Polkit. <\/ul>\n