Bubblewrap 0.5.0 väljaanne, isoleeritud keskkondade loomise kiht

Saabumine tööriistarikka Bubblewrap 0.5.0, mida tavaliselt kasutatakse piiratud juurdepääsuga kasutajate üksikute rakenduste isoleerimiseks. Praktikas kasutatakse Bubblewrap'i projekti Flatpak puhul pakettide alusel käivitatavate rakenduste isoleerimise kihina. Projekti kood on kirjutatud C keeles ja jagatakse LGPLv2+ litsentsi alusel.

Isolatsiooni tagamiseks kasutatakse Linuxile omaseid konteinerite virtualiseerimise tehnoloogiaid, mis põhinevad cgroup'e, nimede nimete (namespaces), Seccomp'i ja SELinuxi kasutamisel. Bubblewrap'i konteinereid seadistavate privileegidega toimingute tegemiseks käivitatakse see root'i õigustes (tehtud fail c suid-lipuga) ning privileegid tühistatakse pärast konteineri algatamist.

Kasutajate nimede (user namespaces) aktiveerimine süsteemis, mis võimaldab konteinerites kasutada oma ainulaadset ID-de kogumit, ei ole vajalik, kuna see ei tööta vaikimisi paljudes distributsioonides (Bubblewrap'i positsioneeritakse piiratud suid-teostusena kasutaja nimede võimaluste alamhulgas — kõik kasutaja ja protsessi ID-d kõrvaldatakse keskkonnast, välja arvatud praegune, kasutades režiime CLONE_NEWUSER ja CLONE_NEWPID). Täiendava kaitse pakkumiseks käivitatakse Bubblewrap'i halduses olevad programmid PR_SET_NO_NEW_PRIVS režiimis, mis keelab uute privileegide saamise, näiteks setuid lipu olemasolu korral.

Failisüsteemi tasemel isolatsioon saavutatakse vaikimisi uue montaažiruumi (mount namespace) loomisega, milles tmpfs abil luuakse tühi juurdunder. Sellesse sektsiooni ühendatakse vajadusel väliste failisüsteemide jaotised režiimis „mount —bind“ (nt. käivitamisel valikuga „bwrap —ro-bind /usr /usr“ edastatakse /usr jaotis põhisüsteemist ainult lugemiseks). Võrguvõimalusi piiratakse juurdepääsuga loopback-liidesele, isoleerides võrguharu CLONE_NEWNET ja CLONE_NEWUTS lipud.

Oluline erinevus sarnase projekti Firejail'iga, mis kasutab samuti setuid mudelit, on see, et Bubblewrap'i konteinerite loomise kiht sisaldab vaid hädavajalikke võimalusi. Kõik täiendavad funktsioonid, mis on vajalikud graafiliste rakenduste käitamiseks, lauaarvutiga suhtlemiseks ning Pulseaudio'le pöördumiste filtreerimiseks, on viidud Flatpak'i poolt ja neid teostatakse juba pärast privileegide tühistamist. Firejail aga ühendab ühte täitmisfaili kõik nõutavad funktsioonid, mis muudab selle kontrollimise ja turvalisuse säilitamise keerulisemaks.

Uues väljaandes on pakutud valikuid: „—chmod”, et muuta juurdepääsuluba, „—clearenv” keskkonnamuutujate (välja arvatud PWD) puhastamiseks ning „—perms”, et määrata juurdepääsulubade õigused, mida rakendatakse operatsioonide „—bind-data”, „—dir”, „—file”, „—ro-bind-data” ja „—tmpfs” käivitamisel. Parandatud on tõrke diagnoosimist, mis tekkis sidumise režiimis monteerimisel. zsh-i jaoks on lisatud tükeldamise toe toetamine, vajutades tab-key.

Allikas: opennet.ru