Bubblewrap 0.11 väljaanne, kihid isoleeritud keskkondade loomiseks

Avaldatud uus versioon isoleeritud keskkondade haldamise tööriistast Bubblewrap 0.11, mida kasutatakse ebajõuliste kasutajate eraldi rakenduste piiramiseks. Praktiliselt kasutatakse Bubblewrap'i Flatpak projekti poolt rakenduste pakettide isoleerimise kihina. Isoleerimiseks kasutatakse traditsioonilisi Linuxi konteinerite virtualiseerimise tehnoloogiaid, mis põhinevad cgroupide, nimede ruumide (namespaces), Seccompi ja SELinuxi kasutamisel. Projekti kood on kirjutatud C keeles ja see on litsentseeritud LGPLv2+ alusel.

Failisüsteemi isolatsioon toimub loomise abil vaikimisi uut mäetamine ruumi (mount namespace), kus tmpfs abil luuakse tühi juurepartitsioon. Kui vajalik, kinnitatakse sellele partitsioonile välist failisüsteemi partitsioonid režiimis „mount —bind“ (näiteks käivitamisel valikuga „bwrap —ro-bind /usr /usr“ partitsioon /usr edastatakse põhisüsteemist ainult lugemiseks). Võrguvõimalused on piiratud juurdepääsuga loopback-liidesele koos võrguhalli isoleerimisega flagedega CLONE_NEWNET ja CLONE_NEWUTS.

Kõigi liigsete kasutaja- ja protsessiidentifikaatorite välistamiseks loodud isoleeritud keskkonnas võivad kasutada režiime CLONE_NEWUSER (kasutaja nimede ruum) ja CLONE_NEWPID (PID nimede ruum), ning uusi eeliseid hankimise keelamiseks kasutatakse režiimi PR_SET_NO_NEW_PRIVS. Süsteemides, kus on olemas "kasutaja nimede ruum", saab Bubblewrap'i käitada tavalise kasutajana, samas kui süsteemides, kus "kasutaja nimede ruumi" ei ole, saab seda kasutada suid root lipuga isoleeritud keskkonna vajaliku algatamise teostamiseks.

Uues väljaandes:

• On võimalus luua mount-punkte, kus kasutatakse ühekihilist failisüsteemi OverlayFS, mis ühendab mitu osa teistest failisüsteemidest. OverlayFS-i kasutamise haldamiseks on ette nähtud uued käsurea võimalused „—overlay”, „—tmp-overlay”, „—ro-overlay” ja „—overlay-src”.
• Lisatud võimalus „—level-prefix” diagnostilise väljundi prioriteeditaseme sisestamiseks syslogi stiilis, mis võimaldab kasutada väljundi töötlemiseks selliseid utiliite nagu „logger” ja „systemd-cat”.
• Autotools-i ehitussüsteemi tugi on lõpetatud. Ehitusel on nüüd vajalik Meson-i tööriistakomplekt.

Allikas: opennet.ru