{"id":103439,"date":"2022-02-26T15:37:02","date_gmt":"2022-02-26T13:37:02","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bubblewrap-0-6-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij"},"modified":"2022-02-26T15:37:02","modified_gmt":"2022-02-26T13:37:02","slug":"vypusk-bubblewrap-0-6-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/vypusk-bubblewrap-0-6-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","title":{"rendered":"Bubblewrap 0.6, isoleeritud keskkondade loomise kiht","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
K\u00e4es on Bubblewrap 0.6 t\u00f6\u00f6riistakomplekti v\u00e4ljaanne, mis on tavaliselt kasutatav isoleeritud keskkondade korraldamiseks ja mis piirab mittes\u00fcsteemi kasutajate eraldi rakendusi. Praktikas kasutab Bubblewrap Flatpaki projekti rakendusi pakettide isoleerimise kihina. Projekti kood on kirjutatud C-keeles ja levitatakse LGPLv2+ litsentsi alusel. <\/p>\n
Isolatsiooni tagamiseks kasutatakse traditsioonilisi Linuxi konteinerite virtualiseerimise tehnoloogiaid, mis p\u00f5hinevad cgroupside, nimede ruumide (namespaces), Seccomp-i ja SELinuxi kasutamisel. Privilegeeritud konteineri seadistamise toimingute t\u00e4itmiseks k\u00e4ivitatakse Bubblewrap root-\u00f5igustes (suud-failiga) ning privileegid t\u00fchistatakse p\u00e4rast konteineri initsialiseerimise l\u00f5petamist. <\/p>\n
Kasutaja nimede ruumide (user namespaces) aktiveerimine ei ole vajalik, kuna see ei toimi paljudes jaotustes vaikimisi (Bubblewrap positsioneerib end piiratud suid-implementatsioonina kasutaja nimede ruumide v\u00f5imaluste alamhulga jaoks \u2014 k\u00f5ik kasutaja ja protsessi identifikaatorid v\u00e4lja arvatud praeguses keskkonnas v\u00e4listatakse re\u017eiimide CLONE_NEWUSER ja CLONE_NEWPID abil). T\u00e4iendava kaitse tagamiseks k\u00e4ivitatakse Bubblewrapi all t\u00f6\u00f6tavad programmid PR_SET_NO_NEW_PRIVS re\u017eiimis, mis keelab uute privileegide saamise, n\u00e4iteks setuid lipu olemasolu korral. <\/p>\n
Failis\u00fcsteemi isoleerimine toimub vaikimisi uue mount-nimetu loomise kaudu, kus tmpfs abil luuakse t\u00fchi juurdosa. Vajadusel kinnitatakse sellele osale v\u00e4list failis\u00fcsteemi osad «mount —bind» re\u017eiimis (n\u00e4iteks kui k\u00e4ivitatakse c valikuga «bwrap —ro-bind \/usr \/usr», siis jaotust \/usr suunatakse p\u00f5hiskeemist vaid lugemisre\u017eiimis). V\u00f5rguv\u00f5imalusi piiratakse p\u00e4\u00e4suga loopback-liidesesse ning v\u00f5rguhaldus isoleeritakse CLONE_NEWNET ja CLONE_NEWUTS lippude kaudu. <\/p>\n
Peamine erinevus sarnase projekti Firejail vahel, mis kasutab samuti setuid mudelit, on see, et Bubblewrap-i konteinerite loomise kiht sisaldab vaid vajalikku minimaalsust, samas kui k\u00f5ik laiendatud funktsioonid, mis on vajalikud graafiliste rakenduste k\u00e4itamiseks, lauaarvutiga suhtlemiseks ja Pulseaudio n\u00f5uete filtreerimiseks, on v\u00e4lja viidud Flatpaki k\u00fclge ja teostatakse p\u00e4rast privileegide t\u00fchistamist. Firejail koondab aga k\u00f5ik kaasnevad funktsioonid \u00fchte t\u00e4idisega faili, mis muudab selle auditeerimise ja turvalisuse s\u00e4ilitamise keerulisemaks. <\/p>\n
Uues v\u00e4ljaandes: <\/p>\n
\n
Lisatud on tugi Meson koostamis s\u00fcsteemile. Autotools koostamise tugi on endiselt olemas, kuid eemaldatakse \u00fches j\u00e4rgmises v\u00e4ljaandes.\n
On lisatud valik «—add-seccomp» rohkem kui \u00fche seccomp programmi lisamiseks. On lisatud hoiatust, et kui valikut «—seccomp» antakse korraga mitu korda, rakendatakse vaid viimast parameetrit.\n
Git-repositooriumi master haru on nimetatud \u00fcmber main-iks.\n
Lisatud on osaline tugi REUSE spetsifikatsioonile, mis standardiseerib litsentside ja autori\u00f5iguste teabe esitamise protsessi. Paljusid koodifaile on lisatud p\u00e4iseid SPDX-License-Identifier. REUSE soovituste j\u00e4rgimine lihtsustab litsentside automaatset m\u00e4\u00e4ramist rakenduse koodiosadele.\n
Lisatud kontroll argumentide arvu (argc) v\u00e4\u00e4rtuse \u00fcle ning rakendatud h\u00e4da\u00e5v\u00e4ljumine, kui arvu v\u00e4\u00e4rtus on null. Muudatus aitab v\u00e4ltida turvaprobleeme, mis on p\u00f5hjustatud vale argumentide t\u00f6\u00f6tlemisest k\u00e4skude rea kaudu, nagu CVE-2021-4034 Polkitis. <\/ul>\n