Bubblewrap 0.6 versioon, isolatsioonikeskkondade loomise kihid

Bubblewrap 0.6 tööriistakomplekti väljaanne, mis võimaldab isoleeritud keskkondade korraldamist, on nüüd saadaval. Seda kasutatakse tavaliselt madala õigustega kasutajate rakenduste piiramiseks. Praktikas kasutatakse Bubblewrap'i projekti Flatpak'is rakenduste käitamise isoleerimiseks. Projekti kood on kirjutatud C keeles ja see jagatakse LGPLv2+ litsentsi alla.

Isolatsiooni tagamiseks kasutatakse Linuxile omaseid konteinerite virtualiseerimise tehnoloogiaid, mis põhinevad cgroup'e, nimede nimete (namespaces), Seccomp'i ja SELinuxi kasutamisel. Bubblewrap'i konteinereid seadistavate privileegidega toimingute tegemiseks käivitatakse see root'i õigustes (tehtud fail c suid-lipuga) ning privileegid tühistatakse pärast konteineri algatamist.

Kasutajate nimede (user namespaces) aktiveerimine süsteemis, mis võimaldab konteinerites kasutada oma ainulaadset ID-de kogumit, ei ole vajalik, kuna see ei tööta vaikimisi paljudes distributsioonides (Bubblewrap'i positsioneeritakse piiratud suid-teostusena kasutaja nimede võimaluste alamhulgas — kõik kasutaja ja protsessi ID-d kõrvaldatakse keskkonnast, välja arvatud praegune, kasutades režiime CLONE_NEWUSER ja CLONE_NEWPID). Täiendava kaitse pakkumiseks käivitatakse Bubblewrap'i halduses olevad programmid PR_SET_NO_NEW_PRIVS režiimis, mis keelab uute privileegide saamise, näiteks setuid lipu olemasolu korral.

Failisüsteemi tasemel isolatsioon saavutatakse vaikimisi uue montaažiruumi (mount namespace) loomisega, milles tmpfs abil luuakse tühi juurdunder. Sellesse sektsiooni ühendatakse vajadusel väliste failisüsteemide jaotised režiimis „mount —bind“ (nt. käivitamisel valikuga „bwrap —ro-bind /usr /usr“ edastatakse /usr jaotis põhisüsteemist ainult lugemiseks). Võrguvõimalusi piiratakse juurdepääsuga loopback-liidesele, isoleerides võrguharu CLONE_NEWNET ja CLONE_NEWUTS lipud.

Oluline erinevus sarnase projekti Firejail'iga, mis kasutab samuti setuid mudelit, on see, et Bubblewrap'i konteinerite loomise kiht sisaldab vaid hädavajalikke võimalusi. Kõik täiendavad funktsioonid, mis on vajalikud graafiliste rakenduste käitamiseks, lauaarvutiga suhtlemiseks ning Pulseaudio'le pöördumiste filtreerimiseks, on viidud Flatpak'i poolt ja neid teostatakse juba pärast privileegide tühistamist. Firejail aga ühendab ühte täitmisfaili kõik nõutavad funktsioonid, mis muudab selle kontrollimise ja turvalisuse säilitamise keerulisemaks.

Uues väljaandes:

• Tugisüsteemi Meson toetus on lisatud. Autotools'i abil ehitamise toetus on hetkel säilinud, kuid see eemaldatakse mõnest järgmise väljaande käigus.
• Tehti valik «—add-seccomp», et lisada rohkem kui üks programmi seccomp. Lisatud on hoiatus, et kui valikut «—seccomp» korratakse, rakendatakse ainult viimane parameeter.
• Git-reposiitide master haru on ümber nimetatud main’iks.
• Lisatud osaline tugi REUSE spetsifikatsioonile, mis standardiseerib litsentside ja autorsuse teabe esitlemise protsessi. Paljudele koodifailidele on lisatud pealkirjad SPDX-License-Identifier. REUSE soovituste järgimine lihtsustab automaatset määramist, milline litsents kehtib rakenduse koodiosade kohta.
• Lisatud kontroll käsurea argumentide loendi väärtuse (argc) üle ja rakendatud äärmuslik väljumine juhul, kui loend on null. See muudatus aitab vältida turvariske, mis on põhjustatud vale käsurea argumentide töötlemisest, nagu CVE-2021-4034 Polkit’is.

Allikas: opennet.ru