Bubblewrapi väljalase 0.4.0, isolatsioonikeskkondade loomiseks mõeldud kiht

Saadaval uusim väljaanne tööriistade komplekt Bubblewrap 0.4.0, mis on mõeldud isoleeritud keskkondade haldamiseks Linuxis ja toimib rakenduste tasandil mitteprivilegeeritud kasutajate jaoks. Praktikas kasutatakse Bubblewrap'i projekti Flatpak'is talletatavate rakenduste isoleerimise kihina. Projekti kood on kirjutatud C keeles ja levitatakse on litsentseeritud LGPLv2+ alusel.

Isolatsiooni tagamiseks kasutatakse Linuxile omaseid konteinerite virtualiseerimise tehnoloogiaid, mis põhinevad cgroup'e, nimede nimete (namespaces), Seccomp'i ja SELinuxi kasutamisel. Bubblewrap'i konteinereid seadistavate privileegidega toimingute tegemiseks käivitatakse see root'i õigustes (tehtud fail c suid-lipuga) ning privileegid tühistatakse pärast konteineri algatamist.

Kasutaja nimede ruumide (user namespaces) aktiveerimine, mis võimaldab konteinerites kasutada eraldi identifikaatorite kogumit, ei ole tööks vajalik, kuna see ei tööta vaikimisi paljudes jaotustes (Bubblewrap positsioneeritakse kui piiratud suid-implementatsioon kasutaja nimede ruumide objektidest — keskkonnast eemaldatakse kõik kasutaja- ja protsessiidentifikaatorid, välja arvatud praegused, kasutades režiime CLONE_NEWUSER ja CLONE_NEWPID). Täiendava kaitse tagamiseks käivitatavad programmid
Bubblewrap'is käivitatakse PR_SET_NO_NEW_PRIVS režiimis, mis keelab uute privileegide saamise, näiteks juhul, kui on olemas setuid lipp.

Failisüsteemi tasemel isolatsioon saavutatakse vaikimisi uue montaažiruumi (mount namespace) loomisega, milles tmpfs abil luuakse tühi juurdunder. Sellesse sektsiooni ühendatakse vajadusel väliste failisüsteemide jaotised režiimis „mount —bind“ (nt. käivitamisel valikuga „bwrap —ro-bind /usr /usr“ edastatakse /usr jaotis põhisüsteemist ainult lugemiseks). Võrguvõimalusi piiratakse juurdepääsuga loopback-liidesele, isoleerides võrguharu CLONE_NEWNET ja CLONE_NEWUTS lipud.

Peamine erinevus sarnase projekti Firejail, mis kasutab samuti setuid mudeli käivitamiseks, on see, et Bubblewrap'i konteinerite loomise kiht sisaldab vaid vajalikku miinimumi võimalustest, samas kui kõik laiendatud funktsioonid, mis on vajalikud graafiliste rakenduste käitamiseks, töölaua suhtlemiseks ja Pulseaudio'le suunatud päringute filtreerimiseks, on välja toodud Flatpak'i poole, kus need käivitatakse juba pärast privileegide kustutamist. Firejail koondab kõik toetavad funktsioonid ühte täidesaatvasse faili, mis muudab selle auditeerimise ja turvalisuse säilimise keeruliseks õigel tasemel.

Uus väljaanne on märkimisväärne olemasolevate kasutaja nimede ruumide (user namespaces) ja protsesside (pid namespaces) ühendamise toe rakendamise poolest. Ruumide ühendamise haldamiseks on lisatud lipud „—userns”, „—userns2” ja „—pidns”.
See võimalus ei toimi setuid režiimis ja nõuab eraldi režiimi kasutamist, mis suudab töötada ilma root'i õiguste saamiseta, kuid nõuab kasutaja nimede ruumide aktiveerimist (vaikimisi on need Debianis ja RHEL/CentOS'is keelatud) ning ei välista
potentsiaalselt lekke jäävaid остающихся haavatavuste koossete "user namespaces" hulga piirangu jaoks. Uute võimalustena toob Bubblewrap 0.4 esile ka võimaluse koostada C-raamatukoguga musl glibc asemel ning toeta nime ruumide teabe salvestamist statistikaa failisse JSON-formaadis.

Allikas: opennet.ru