{"id":107033,"date":"2023-03-02T06:48:15","date_gmt":"2023-03-02T04:48:15","guid":{"rendered":"https:\/\/prohoster.info\/?p=107033"},"modified":"2023-03-03T15:16:36","modified_gmt":"2023-03-03T13:16:36","slug":"vypusk-bubblewrap-0-8-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/vypusk-bubblewrap-0-8-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","title":{"rendered":"Lanzamiento de Bubblewrap 0.8, una capa para crear entornos aislados","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Disponible la versi\u00f3n de la herramienta para organizar el trabajo de entornos aislados Bubblewrap 0.8, generalmente utilizado para restringir aplicaciones individuales de usuarios no privilegiados. En la pr\u00e1ctica, Bubblewrap es utilizado por el proyecto Flatpak como una capa para aislar la ejecuci\u00f3n de aplicaciones empaquetadas. El c\u00f3digo del proyecto est\u00e1 escrito en C y se distribuye bajo la licencia LGPLv2+. <\/p>\n

Para la isolaci\u00f3n se utilizan tecnolog\u00edas tradicionales de virtualizaci\u00f3n de contenedores en Linux, basadas en el uso de cgroups, espacios de nombres (namespaces), Seccomp y SELinux. Para realizar operaciones privilegiadas de configuraci\u00f3n del contenedor, Bubblewrap se ejecuta con privilegios de root (archivo ejecutable con el flag suid) con posterior eliminaci\u00f3n de privilegios despu\u00e9s de completar la inicializaci\u00f3n del contenedor. <\/p>\n

La activaci\u00f3n en el sistema de espacios de nombres de identificadores de usuario (user namespaces), que permite utilizar en contenedores un conjunto de identificadores separado, no es necesaria, ya que por defecto no funciona en muchas distribuciones (Bubblewrap se presenta como una implementaci\u00f3n suid limitada de un subconjunto de las capacidades de los espacios de nombres de usuario para excluir todos los identificadores de usuarios y procesos del entorno, excepto el actual, utilizando los modos CLONE_NEWUSER y CLONE_NEWPID). Para mayor protecci\u00f3n, los programas ejecutados bajo Bubblewrap se inician en modo PR_SET_NO_NEW_PRIVS, que proh\u00edbe la obtenci\u00f3n de nuevos privilegios, por ejemplo, en presencia de la bandera setuid. <\/p>\n

La aislamiento a nivel de sistema de archivos se realiza mediante la creaci\u00f3n por defecto de un nuevo espacio de nombres de puntos de montaje (mount namespace), en el que se crea una ra\u00edz vac\u00eda utilizando tmpfs. A este sistema se le pueden acoplar particiones de un sistema de archivos externo en modo 'mount --bind' (por ejemplo, al iniciar con la opci\u00f3n 'bwrap --ro-bind \/usr \/usr', el sistema \/usr se pasa desde el sistema principal en modo de solo lectura). Las capacidades de red se limitan al acceso a la interfaz loopback con aislamiento de la pila de red a trav\u00e9s de las banderas CLONE_NEWNET y CLONE_NEWUTS. <\/p>\n

La principal diferencia con respecto a un proyecto similar, Firejail, que tambi\u00e9n utiliza un modelo de lanzamiento con setuid, es que en Bubblewrap la capa para crear contenedores incluye solo el m\u00ednimo necesario de capacidades, mientras que todas las funciones extendidas requeridas para ejecutar aplicaciones gr\u00e1ficas, interactuar con el escritorio y filtrar las llamadas a Pulseaudio se manejan del lado de Flatpak y se ejecutan despu\u00e9s de la eliminaci\u00f3n de privilegios. Firejail, por otro lado, combina todas las funciones complementarias en un solo ejecutable, lo que dificulta su auditor\u00eda y el mantenimiento de un nivel adecuado de seguridad. <\/p>\n

En esta nueva versi\u00f3n: <\/p>\n