{"id":103439,"date":"2022-02-26T15:37:02","date_gmt":"2022-02-26T13:37:02","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bubblewrap-0-6-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij"},"modified":"2022-02-26T15:37:02","modified_gmt":"2022-02-26T13:37:02","slug":"vypusk-bubblewrap-0-6-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/vypusk-bubblewrap-0-6-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","title":{"rendered":"Bubblewrap 0.6 versioon, isolatsioonikeskkondade loomise kihid","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Bubblewrap 0.6 t\u00f6\u00f6riistakomplekti v\u00e4ljaanne, mis v\u00f5imaldab isoleeritud keskkondade korraldamist, on n\u00fc\u00fcd saadaval. Seda kasutatakse tavaliselt madala \u00f5igustega kasutajate rakenduste piiramiseks. Praktikas kasutatakse Bubblewrap'i projekti Flatpak'is rakenduste k\u00e4itamise isoleerimiseks. Projekti kood on kirjutatud C keeles ja see jagatakse LGPLv2+ litsentsi alla. <\/p>\n
Isolatsiooni tagamiseks kasutatakse Linuxile omaseid konteinerite virtualiseerimise tehnoloogiaid, mis p\u00f5hinevad cgroup'e, nimede nimete (namespaces), Seccomp'i ja SELinuxi kasutamisel. Bubblewrap'i konteinereid seadistavate privileegidega toimingute tegemiseks k\u00e4ivitatakse see root'i \u00f5igustes (tehtud fail c suid-lipuga) ning privileegid t\u00fchistatakse p\u00e4rast konteineri algatamist. <\/p>\n
Kasutaja nimede ruumide (user namespaces) aktiveerimine, mis v\u00f5imaldavad konteinerites kasutada omaette identifikaatorite kogumit, ei ole vajalik, kuna see ei t\u00f6\u00f6ta vaikimisi paljudes jaotustes (Bubblewrap positsioneeritakse piiratud suid-teostuse alamkogumi kasutaja nimede ruumide funktsioonide jaoks \u2014 kasutades re\u017eiime CLONE_NEWUSER ja CLONE_NEWPID, v\u00e4listatakse k\u00f5ik kasutaja- ja protsessidentifikaatorid keskkonnast v\u00e4lja arvatud praegune). T\u00e4iendava kaitseks k\u00e4ivitatakse Bubblewrapi hallatavad programmid re\u017eiimis PR_SET_NO_NEW_PRIVS, mis keelab uute privilegiumide saamise, n\u00e4iteks setuid lipu olemasolu korral. <\/p>\n
Failis\u00fcsteemi tasandil isoleerimine toimub vaikimisi uue mount-nimede ruumi loomise kaudu, kus tmpfs-i abil luuakse t\u00fchi juurkataloog. Sellesse kataloogi liidetakse vajadusel v\u00e4lised failis\u00fcsteemid «mount —bind» re\u017eiimis (n\u00e4iteks, kui k\u00e4ivitatakse koos valikuga «bwrap —ro-bind \/usr \/usr», siis liidetakse \/usr l\u00f5ik peamisest s\u00fcsteemist ainult lugemisre\u017eiimis). V\u00f5rgufunktsionaalsus piirdub ringh\u00e4\u00e4linguliidesele juurdep\u00e4\u00e4suga ning v\u00f5rgu steigi isoleerimisega l\u00e4bi flagide CLONE_NEWNET ja CLONE_NEWUTS. <\/p>\n
Oluline erinevus sarnase projekti Firejail'iga, mis kasutab samuti setuid mudelit, on see, et Bubblewrap'i konteinerite loomise kiht sisaldab vaid h\u00e4davajalikke v\u00f5imalusi. K\u00f5ik t\u00e4iendavad funktsioonid, mis on vajalikud graafiliste rakenduste k\u00e4itamiseks, lauaarvutiga suhtlemiseks ning Pulseaudio'le p\u00f6\u00f6rdumiste filtreerimiseks, on viidud Flatpak'i poolt ja neid teostatakse juba p\u00e4rast privileegide t\u00fchistamist. Firejail aga \u00fchendab \u00fchte t\u00e4itmisfaili k\u00f5ik n\u00f5utavad funktsioonid, mis muudab selle kontrollimise ja turvalisuse s\u00e4ilitamise keerulisemaks. <\/p>\n
Uues v\u00e4ljaandes: <\/p>\n
\n
Tugis\u00fcsteemi Meson toetus on lisatud. Autotools'i abil ehitamise toetus on hetkel s\u00e4ilinud, kuid see eemaldatakse m\u00f5nest j\u00e4rgmise v\u00e4ljaande k\u00e4igus.\n
On rakendatud «—add-seccomp» valik, mis v\u00f5imaldab lisada rohkem kui \u00fche seccomp programm. Lisatud on hoiatus, et «—seccomp» valiku kordusel kehtib ainult viimane parameeter.\n
Git-reposiitide master haru on \u00fcmber nimetatud main\u2019iks.\n
Lisatud osaline tugi REUSE spetsifikatsioonile, mis standardiseerib litsentside ja autorsuse teabe esitlemise protsessi. Paljudele koodifailidele on lisatud pealkirjad SPDX-License-Identifier. REUSE soovituste j\u00e4rgimine lihtsustab automaatset m\u00e4\u00e4ramist, milline litsents kehtib rakenduse koodiosade kohta.\n
Lisatud kontroll k\u00e4surea argumentide loendi v\u00e4\u00e4rtuse (argc) \u00fcle ja rakendatud \u00e4\u00e4rmuslik v\u00e4ljumine juhul, kui loend on null. See muudatus aitab v\u00e4ltida turvariske, mis on p\u00f5hjustatud vale k\u00e4surea argumentide t\u00f6\u00f6tlemisest, nagu CVE-2021-4034 Polkit\u2019is. <\/ul>\n