Bubblewrap 0.11, isoleeritud keskkondade loomise kiht

Avalikustatud on uus versioon Bubblewrapi tööriistadest, mis aitavad luua isoleeritud keskkondi, versioon 0.11, mida kasutatakse kasulikest rakendustest mitteprivilegeeritud kasutajate piiramiseks. Bubblewrapit kasutatakse projektis Flatpak rakenduste isoleerimiseks, mis käivitatakse pakettidest. Isolatsiooniks kasutatakse traditsioonilisi Linuxi konteinerite virtualiseerimise tehnoloogiaid, mis põhinevad cgroups'i, nimede ruumide (namespaces), Seccomp'i ja SELinux'i kasutamisel. Projekti kood on kirjutatud C keeles ja levitatakse LGPLv2+ litsentsi alusel.

Failisüsteemi tasemel isolatsioon saavutatakse vaikimisi uue montaažiruumi (mount namespace) loomisega, milles tmpfs abil luuakse tühi juurdunder. Sellesse sektsiooni ühendatakse vajadusel väliste failisüsteemide jaotised režiimis „mount —bind“ (nt. käivitamisel valikuga „bwrap —ro-bind /usr /usr“ edastatakse /usr jaotis põhisüsteemist ainult lugemiseks). Võrguvõimalusi piiratakse juurdepääsuga loopback-liidesele, isoleerides võrguharu CLONE_NEWNET ja CLONE_NEWUTS lipud.

Kasutajate ja protsesside lisandunud identifikaatorite välistamiseks isoleeritud keskkonnas saab kasutada režiime CLONE_NEWUSER (kasutaja nimede ruum) ja CLONE_NEWPID (PID nimede ruum), ning uute privileegide saamise keeldumise jaoks režiimi PR_SET_NO_NEW_PRIVS. „Kasutaja nimede ruumiga“ süsteemides saab Bubblewrapi käivitada tavalise kasutajana, kuid „kasutaja nimede ruumita“ süsteemides tuleks kasutada suid root lippu isoleeritud keskkonna algatamiseks.

Uues väljaandes:

• On antud võimalus luua montaažipunkte, kus kasutatakse monoliitset failisüsteemi OverlayFS, mis ühendab mitu osa teistest failisüsteemidest. OverlayFS kasutamise haldamiseks on pakkuda uued käsurea valikud „—overlay“, „—tmp-overlay“, „—ro-overlay“ ja „—overlay-src“.
• On lisatud valik „—level-prefix“, et sisestada diagnostikaväljundisse syslogi stiilis prioriteeditase, võimaldades selliste tööriistade nagu „logger“ ja „systemd-cat“ kasutamist väljundi töötlemiseks.
• Toetust koostamissüsteemile Autotools on lõpetatud. Kiireks tõstmiseks on nüüd vajalik Meson tööriistade komplekt.

Allikas: opennet.ru