Bubblewrap 0.9, isolatsioonikeskkondade loomiseks mõeldud kihiksi

Pärast aasta kestnud arendust on avaldatud uus versioon tööriistadest isoleeritud keskkondade haldamiseks, Bubblewrap 0.9, mida kasutatakse piiratud privileegidega kasutajate üksikrakenduste piiramiseks. T praktikas kasutatakse Bubblewrap'i Flatpak'i projektis käivitatavate pakettide rakenduste isoleerimiseks. Projekti kood on kirjutatud C keeles ja levitatakse LGPLv2+ litsentsi alusel.

Isolatsiooni tagamiseks kasutatakse Linuxile omaseid konteinerite virtualiseerimise tehnoloogiaid, mis põhinevad cgroup'e, nimede nimete (namespaces), Seccomp'i ja SELinuxi kasutamisel. Bubblewrap'i konteinereid seadistavate privileegidega toimingute tegemiseks käivitatakse see root'i õigustes (tehtud fail c suid-lipuga) ning privileegid tühistatakse pärast konteineri algatamist.

Kasutajate nimede (user namespaces) aktiveerimine süsteemis, mis võimaldab konteinerites kasutada oma ainulaadset ID-de kogumit, ei ole vajalik, kuna see ei tööta vaikimisi paljudes distributsioonides (Bubblewrap'i positsioneeritakse piiratud suid-teostusena kasutaja nimede võimaluste alamhulgas — kõik kasutaja ja protsessi ID-d kõrvaldatakse keskkonnast, välja arvatud praegune, kasutades režiime CLONE_NEWUSER ja CLONE_NEWPID). Täiendava kaitse pakkumiseks käivitatakse Bubblewrap'i halduses olevad programmid PR_SET_NO_NEW_PRIVS režiimis, mis keelab uute privileegide saamise, näiteks setuid lipu olemasolu korral.

Failisüsteemi tasemel isolatsioon saavutatakse vaikimisi uue montaažiruumi (mount namespace) loomisega, milles tmpfs abil luuakse tühi juurdunder. Sellesse sektsiooni ühendatakse vajadusel väliste failisüsteemide jaotised režiimis „mount —bind“ (nt. käivitamisel valikuga „bwrap —ro-bind /usr /usr“ edastatakse /usr jaotis põhisüsteemist ainult lugemiseks). Võrguvõimalusi piiratakse juurdepääsuga loopback-liidesele, isoleerides võrguharu CLONE_NEWNET ja CLONE_NEWUTS lipud.

Oluline erinevus sarnase projekti Firejail'iga, mis kasutab samuti setuid mudelit, on see, et Bubblewrap'i konteinerite loomise kiht sisaldab vaid hädavajalikke võimalusi. Kõik täiendavad funktsioonid, mis on vajalikud graafiliste rakenduste käitamiseks, lauaarvutiga suhtlemiseks ning Pulseaudio'le pöördumiste filtreerimiseks, on viidud Flatpak'i poolt ja neid teostatakse juba pärast privileegide tühistamist. Firejail aga ühendab ühte täitmisfaili kõik nõutavad funktsioonid, mis muudab selle kontrollimise ja turvalisuse säilitamise keerulisemaks.

Uues väljaandes:

• Algteksti paketist on eemaldatud Autotools'is genereeritud failid. Nüüd soovitatakse koostamiseks kasutada Meson koostesüsteemi. Autotools'i valikuline tugi on jätkuvalt olemas, kuid tulevastes väljaannetes kavatsetakse see eemaldada.
• Lisatud on valik "—argv0", et seadistada käivitusargumentide nullargument (argv[0] - täitmisfaili nimi, näiteks "—argv0 /usr/bin/test").
• Valik "—symlink" aktiveeritakse nüüd ainult siis, kui sümboolne link juba eksisteerib ja osutab õigele eesmärgifailile.
• Dokumenditud on valik "—cap-add", mida kasutatakse capability-lippude seadistamiseks, näiteks "CAP_DAC_READ_SEARCH".
• Tõstetud on vigade informatiivsust, mis kuvatakse mountimise tõrgete korral.
• Protsessi unit-testide loomine on lihtsustatud.
• Kasutusnäidetes on lõpetatud vanade Python'i versioonide tugi.
• Mälu eraldamise toimingud on paranenud.

Allikas: opennet.ru