Bubblewrap 0.6, isoleeritud keskkondade loomise kiht

Käes on Bubblewrap 0.6 tööriistakomplekti väljaanne, mis on tavaliselt kasutatav isoleeritud keskkondade korraldamiseks ja mis piirab mittesüsteemi kasutajate eraldi rakendusi. Praktikas kasutab Bubblewrap Flatpaki projekti rakendusi pakettide isoleerimise kihina. Projekti kood on kirjutatud C-keeles ja levitatakse LGPLv2+ litsentsi alusel.

Isolatsiooni tagamiseks kasutatakse traditsioonilisi Linuxi konteinerite virtualiseerimise tehnoloogiaid, mis põhinevad cgroupside, nimede ruumide (namespaces), Seccomp-i ja SELinuxi kasutamisel. Privilegeeritud konteineri seadistamise toimingute täitmiseks käivitatakse Bubblewrap root-õigustes (suud-failiga) ning privileegid tühistatakse pärast konteineri initsialiseerimise lõpetamist.

Kasutaja identsuste ruumide (user namespaces) aktiveerimine, mis võimaldab konteinerites kasutada oma eraldi identsuste kogumit, ei ole vajalik, kuna vaikimisi ei tööta see paljudes jaotustes (Bubblewrap on positsioneeritud kui piiratud suid-implementatsioon kasutaja identsuste võimaluste alamhulgast - kõik kasutaja ja protsessi identsused keskkonnast, välja arvatud praegune, välistamiseks kasutatakse režiime CLONE_NEWUSER ja CLONE_NEWPID). Täiendava kaitse tagamiseks käivitatakse Bubblewrap'i juhtimise all programmid PR_SET_NO_NEW_PRIVS režiimis, mis keelab uute privileegide saamise, näiteks setuid lipu olemasolu korral.

Failisüsteemi isolatsioon toimub loomise abil vaikimisi uut mäetamine ruumi (mount namespace), kus tmpfs abil luuakse tühi juurepartitsioon. Kui vajalik, kinnitatakse sellele partitsioonile välist failisüsteemi partitsioonid režiimis „mount —bind“ (näiteks käivitamisel valikuga „bwrap —ro-bind /usr /usr“ partitsioon /usr edastatakse põhisüsteemist ainult lugemiseks). Võrguvõimalused on piiratud juurdepääsuga loopback-liidesele koos võrguhalli isoleerimisega flagedega CLONE_NEWNET ja CLONE_NEWUTS.

Peamine erinevus sarnase projekti Firejail vahel, mis kasutab samuti setuid mudelit, on see, et Bubblewrap-i konteinerite loomise kiht sisaldab vaid vajalikku minimaalsust, samas kui kõik laiendatud funktsioonid, mis on vajalikud graafiliste rakenduste käitamiseks, lauaarvutiga suhtlemiseks ja Pulseaudio nõuete filtreerimiseks, on välja viidud Flatpaki külge ja teostatakse pärast privileegide tühistamist. Firejail koondab aga kõik kaasnevad funktsioonid ühte täidisega faili, mis muudab selle auditeerimise ja turvalisuse säilitamise keerulisemaks.

Uues väljaandes:

• Lisatud on tugi Meson koostamis süsteemile. Autotools koostamise tugi on endiselt olemas, kuid eemaldatakse ühes järgmises väljaandes.
• Rakendatud on valik „—add-seccomp”, mis võimaldab lisada rohkem kui ühe seccomp programmi. Lisatud on hoiatus, et kui valikut „—seccomp” antakse uuesti, rakendatakse ainult viimast parameetrit.
• Git-repositooriumi master haru on nimetatud ümber main-iks.
• Lisatud on osaline tugi REUSE spetsifikatsioonile, mis standardiseerib litsentside ja autoriõiguste teabe esitamise protsessi. Paljusid koodifaile on lisatud päiseid SPDX-License-Identifier. REUSE soovituste järgimine lihtsustab litsentside automaatset määramist rakenduse koodiosadele.
• Lisatud kontroll argumentide arvu (argc) väärtuse üle ning rakendatud hädaåväljumine, kui arvu väärtus on null. Muudatus aitab vältida turvaprobleeme, mis on põhjustatud vale argumentide töötlemisest käskude rea kaudu, nagu CVE-2021-4034 Polkitis.

Allikas: opennet.ru