Bubblewrap 0.4.0 väljaanne, isoleeritud keskkondade loomiseks mõeldud kihid

Saadaval uus väljaanne tööriistakomplektist Bubblewrap 0.4.0, mis on loodud isoleeritud keskkondade korraldamiseks Linuxis ja töötab mitteprivileegitud kasutajate rakendustasandil. Praktiliselt kasutatakse Bubblewrapi Flatpaki projekti poolt rakenduste pakettide isoleerimise kihina. Projekti kood on kirjutatud C keeles ja GNU Üldine Avaliku litsentsi alusel. jagatud LGPLv2+ litsentsi all.

Isolatsiooni tagamiseks kasutatakse traditsioonilisi Linuxi konteinerite virtualiseerimise tehnoloogiaid, mis põhinevad cgroupside, nimede ruumide (namespaces), Seccomp-i ja SELinuxi kasutamisel. Privilegeeritud konteineri seadistamise toimingute täitmiseks käivitatakse Bubblewrap root-õigustes (suud-failiga) ning privileegid tühistatakse pärast konteineri initsialiseerimise lõpetamist.

Kasutaja nimede ruumide (user namespaces) aktiveerimine süsteemis, mis võimaldab konteinerites kasutada oma eraldi identifikaatorite komplekti, ei ole vajalik, kuna vaikimisi ei tööta see paljudes jaotustes (Bubblewrapi positsioneeritakse piiratud suid-implementatsioonina kasutaja nimede ruumide võimaluste alamkogust — kõigi kasutaja ja protsessi identifikaatorite välistamiseks keskkonnast, välja arvatud praegune, kasutatakse režiime CLONE_NEWUSER ja CLONE_NEWPID). Täiendava kaitse tagamiseks Bubblewrapi halduses
rakendused käivitatakse režiimis PR_SET_NO_NEW_PRIVS, mis keelab uute privileegide saamise, näiteks setuid lipu olemasolu korral.

Failisüsteemi isolatsioon toimub loomise abil vaikimisi uut mäetamine ruumi (mount namespace), kus tmpfs abil luuakse tühi juurepartitsioon. Kui vajalik, kinnitatakse sellele partitsioonile välist failisüsteemi partitsioonid režiimis „mount —bind“ (näiteks käivitamisel valikuga „bwrap —ro-bind /usr /usr“ partitsioon /usr edastatakse põhisüsteemist ainult lugemiseks). Võrguvõimalused on piiratud juurdepääsuga loopback-liidesele koos võrguhalli isoleerimisega flagedega CLONE_NEWNET ja CLONE_NEWUTS.

Peamine erinevus sarnase projekti ees Firejail, mis kasutab samuti käivitamise mudelit setuid rakendamisega, erineb Bubblewrapist, kuna konteinerite loomise kiht sisaldab ainult vajalikku minimaalset võimaluste kogumit, samas kui kõik laiendatud funktsioonid, mis on vajalikud graafiliste rakenduste käitamiseks, töölauaga suhtlemiseks ja Pulseaudio päringute filtreerimiseks, on viidud Flatpaki poole ja teostatakse pärast privileegide tühistamist. Firejail koondab kõik kaasnevad funktsioonid ühte täitevfaili, mis muudab auditeerimise ja turvalisuse säilitamise komplekssemaks.

Uus väljaanne on silmapaistev, kuna see rakendab olemasolevate kasutaja nimede ruumide (user namespaces) ja protsesside (pid namespaces) ühendamise toetust. Ruumi ühendamise juhtimiseks on lisatud lipud "—userns", "—userns2" ja "—pidns".
See funktsioon ei tööta setuid režiimis ja nõuab eraldi režiimi kasutamist, mis saab töötada ilma root õigusteta, kuid vajab
kasutaja nimede ruumide aktiveerimist süsteemis (vaikimisi on need Debianis ja RHEL/CentOSis keelatud) ning ei välista haavatavuse potentsiaalset jääkide olemasolu haavatavuste kasutusest tulenevate piirangute "user namespaces". Uute funktsioonide seas on Bubblewrap 0.4 ka võimalus koostada musli C teegi abil asemel glibci ja toetus nimede ruumide teabe salvestamiseks statistika failisse JSON formaadis.

Allikas: opennet.ru