Bubblewrap 0.9 väljaanne, isoleeritud keskkondade loomiseks mõeldud kihid

Pärast aasta pikkust arendust on välja antud uus versioon tööriistakomplektist isolatsioonikeskkondade loomise jaoks, Bubblewrap 0.9, mida kasutatakse ebapädevate kasutajate rakenduste piiramiseks. Praktiliselt kasutab Bubblewrap projekti Flatpak kui kihti pakendites käivitatavate rakenduste isoleerimiseks. Projekti kood on kirjutatud C keeles ja levitatakse LGPLv2+ litsentsi alusel.

Isolatsiooni tagamiseks kasutatakse traditsioonilisi Linuxi konteinerite virtualiseerimise tehnoloogiaid, mis põhinevad cgroupside, nimede ruumide (namespaces), Seccomp-i ja SELinuxi kasutamisel. Privilegeeritud konteineri seadistamise toimingute täitmiseks käivitatakse Bubblewrap root-õigustes (suud-failiga) ning privileegid tühistatakse pärast konteineri initsialiseerimise lõpetamist.

Kasutaja identsuste ruumide (user namespaces) aktiveerimine, mis võimaldab konteinerites kasutada oma eraldi identsuste kogumit, ei ole vajalik, kuna vaikimisi ei tööta see paljudes jaotustes (Bubblewrap on positsioneeritud kui piiratud suid-implementatsioon kasutaja identsuste võimaluste alamhulgast - kõik kasutaja ja protsessi identsused keskkonnast, välja arvatud praegune, välistamiseks kasutatakse režiime CLONE_NEWUSER ja CLONE_NEWPID). Täiendava kaitse tagamiseks käivitatakse Bubblewrap'i juhtimise all programmid PR_SET_NO_NEW_PRIVS režiimis, mis keelab uute privileegide saamise, näiteks setuid lipu olemasolu korral.

Failisüsteemi isolatsioon toimub loomise abil vaikimisi uut mäetamine ruumi (mount namespace), kus tmpfs abil luuakse tühi juurepartitsioon. Kui vajalik, kinnitatakse sellele partitsioonile välist failisüsteemi partitsioonid režiimis „mount —bind“ (näiteks käivitamisel valikuga „bwrap —ro-bind /usr /usr“ partitsioon /usr edastatakse põhisüsteemist ainult lugemiseks). Võrguvõimalused on piiratud juurdepääsuga loopback-liidesele koos võrguhalli isoleerimisega flagedega CLONE_NEWNET ja CLONE_NEWUTS.

Peamine erinevus sarnase projekti Firejail vahel, mis kasutab samuti setuid mudelit, on see, et Bubblewrap-i konteinerite loomise kiht sisaldab vaid vajalikku minimaalsust, samas kui kõik laiendatud funktsioonid, mis on vajalikud graafiliste rakenduste käitamiseks, lauaarvutiga suhtlemiseks ja Pulseaudio nõuete filtreerimiseks, on välja viidud Flatpaki külge ja teostatakse pärast privileegide tühistamist. Firejail koondab aga kõik kaasnevad funktsioonid ühte täidisega faili, mis muudab selle auditeerimise ja turvalisuse säilitamise keerulisemaks.

Uues väljaandes:

• Algse koodiga paketist on eemaldatud Autotools genereeritud failid. Kogu ehitamiseks soovitatakse nüüd kasutada Meson ehitussüsteemi. Otsene tugi Autotools-le on veel säilinud, kuid tulevastes väljaannetes on plaanis see eemaldada.
• Lisatud on valik „—argv0“, et seadistada käsurea nullargument (argv[0] — käivitatava faili nimi, näiteks „—argv0 /usr/bin/test“).
• Valik „—symlink“ töötab nüüd ainult siis, kui sümboolne link juba eksisteerib ja osutab õigele sihtfailile.
• Dokumendis on kirjas valik „—cap-add“, mida rakendatakse capability-lippude seadmiseks, näiteks „CAP_DAC_READ_SEARCH“.
• Vead, mis ilmnevad monteerimise ebaõnnestumise korral, on saanud rohkem teavet.
• Üksuse testide loomine on lihtsustatud.
• Kasutusnäidetes on vanade Python versioonide tugi lõpetatud.
• Mälu haldamise operatsioonid on paranenud.

Allikas: opennet.ru