Bubblewrap 0.8 väljaanne, isolaatukeskkondade loomiseks mõeldud kiht

Saadaval on tööriistade väljaanne izolatsioonikeskkondade korraldamiseks Bubblewrap 0.8, mida tavaliselt kasutatakse piiratud õigustega kasutajate üksikrakenduste piiramiseks. Praktiliselt kasutatakse Bubblewrap'i projekti Flatpak poolt, et eraldada pakettide kaudu käivitatavaid rakendusi. Projekti kood on kirjutatud C keeles ja seda levitatakse LGPLv2+ litsentsi alusel.

Isolatsiooni tagamiseks kasutatakse Linuxile omaseid konteinerite virtualiseerimise tehnoloogiaid, mis põhinevad cgroup'e, nimede nimete (namespaces), Seccomp'i ja SELinuxi kasutamisel. Bubblewrap'i konteinereid seadistavate privileegidega toimingute tegemiseks käivitatakse see root'i õigustes (tehtud fail c suid-lipuga) ning privileegid tühistatakse pärast konteineri algatamist.

Kasutajate nimede (user namespaces) aktiveerimine süsteemis, mis võimaldab konteinerites kasutada oma ainulaadset ID-de kogumit, ei ole vajalik, kuna see ei tööta vaikimisi paljudes distributsioonides (Bubblewrap'i positsioneeritakse piiratud suid-teostusena kasutaja nimede võimaluste alamhulgas — kõik kasutaja ja protsessi ID-d kõrvaldatakse keskkonnast, välja arvatud praegune, kasutades režiime CLONE_NEWUSER ja CLONE_NEWPID). Täiendava kaitse pakkumiseks käivitatakse Bubblewrap'i halduses olevad programmid PR_SET_NO_NEW_PRIVS režiimis, mis keelab uute privileegide saamise, näiteks setuid lipu olemasolu korral.

Failisüsteemi tasemel isolatsioon saavutatakse vaikimisi uue montaažiruumi (mount namespace) loomisega, milles tmpfs abil luuakse tühi juurdunder. Sellesse sektsiooni ühendatakse vajadusel väliste failisüsteemide jaotised režiimis „mount —bind“ (nt. käivitamisel valikuga „bwrap —ro-bind /usr /usr“ edastatakse /usr jaotis põhisüsteemist ainult lugemiseks). Võrguvõimalusi piiratakse juurdepääsuga loopback-liidesele, isoleerides võrguharu CLONE_NEWNET ja CLONE_NEWUTS lipud.

Oluline erinevus sarnase projekti Firejail'iga, mis kasutab samuti setuid mudelit, on see, et Bubblewrap'i konteinerite loomise kiht sisaldab vaid hädavajalikke võimalusi. Kõik täiendavad funktsioonid, mis on vajalikud graafiliste rakenduste käitamiseks, lauaarvutiga suhtlemiseks ning Pulseaudio'le pöördumiste filtreerimiseks, on viidud Flatpak'i poolt ja neid teostatakse juba pärast privileegide tühistamist. Firejail aga ühendab ühte täitmisfaili kõik nõutavad funktsioonid, mis muudab selle kontrollimise ja turvalisuse säilitamise keerulisemaks.

Uues väljaandes:

• Lisatud on valik „—disable-userns”, mis keelab sandbox-keskkonnas oma sisemise kasutajaidentifikaatori ruumi (user namespace) loomise.
• Lisatud on valik „—assert-userns-disabled”, et kontrollida, kas „—disable-userns” valiku kasutamisel on olemasolev kasutajaidentifikaatori ruum kaasatud.
• Suurendatud on vigade teateid, mis on seotud kernelis CONFIG_SECCOMP ja CONFIG_SECCOMP_FILTER seadete keelamisega.

Allikas: opennet.ru