Saadaval on t\u00f6\u00f6riistade v\u00e4ljaanne izolatsioonikeskkondade korraldamiseks Bubblewrap 0.8, mida tavaliselt kasutatakse piiratud \u00f5igustega kasutajate \u00fcksikrakenduste piiramiseks. Praktiliselt kasutatakse Bubblewrap'i projekti Flatpak poolt, et eraldada pakettide kaudu k\u00e4ivitatavaid rakendusi. Projekti kood on kirjutatud C keeles ja seda levitatakse LGPLv2+ litsentsi alusel. <\/p>\n
Isolatsiooni tagamiseks kasutatakse Linuxile omaseid konteinerite virtualiseerimise tehnoloogiaid, mis p\u00f5hinevad cgroup'e, nimede nimete (namespaces), Seccomp'i ja SELinuxi kasutamisel. Bubblewrap'i konteinereid seadistavate privileegidega toimingute tegemiseks k\u00e4ivitatakse see root'i \u00f5igustes (tehtud fail c suid-lipuga) ning privileegid t\u00fchistatakse p\u00e4rast konteineri algatamist. <\/p>\n
Kasutaja nimede ruumide (user namespaces) aktiveerimine, mis v\u00f5imaldavad konteinerites kasutada omaette identifikaatorite kogumit, ei ole vajalik, kuna see ei t\u00f6\u00f6ta vaikimisi paljudes jaotustes (Bubblewrap positsioneeritakse piiratud suid-teostuse alamkogumi kasutaja nimede ruumide funktsioonide jaoks \u2014 kasutades re\u017eiime CLONE_NEWUSER ja CLONE_NEWPID, v\u00e4listatakse k\u00f5ik kasutaja- ja protsessidentifikaatorid keskkonnast v\u00e4lja arvatud praegune). T\u00e4iendava kaitseks k\u00e4ivitatakse Bubblewrapi hallatavad programmid re\u017eiimis PR_SET_NO_NEW_PRIVS, mis keelab uute privilegiumide saamise, n\u00e4iteks setuid lipu olemasolu korral. <\/p>\n
Failis\u00fcsteemi tasandil isoleerimine toimub vaikimisi uue mount-nimede ruumi loomise kaudu, kus tmpfs-i abil luuakse t\u00fchi juurkataloog. Sellesse kataloogi liidetakse vajadusel v\u00e4lised failis\u00fcsteemid «mount —bind» re\u017eiimis (n\u00e4iteks, kui k\u00e4ivitatakse koos valikuga «bwrap —ro-bind \/usr \/usr», siis liidetakse \/usr l\u00f5ik peamisest s\u00fcsteemist ainult lugemisre\u017eiimis). V\u00f5rgufunktsionaalsus piirdub ringh\u00e4\u00e4linguliidesele juurdep\u00e4\u00e4suga ning v\u00f5rgu steigi isoleerimisega l\u00e4bi flagide CLONE_NEWNET ja CLONE_NEWUTS. <\/p>\n
Oluline erinevus sarnase projekti Firejail'iga, mis kasutab samuti setuid mudelit, on see, et Bubblewrap'i konteinerite loomise kiht sisaldab vaid h\u00e4davajalikke v\u00f5imalusi. K\u00f5ik t\u00e4iendavad funktsioonid, mis on vajalikud graafiliste rakenduste k\u00e4itamiseks, lauaarvutiga suhtlemiseks ning Pulseaudio'le p\u00f6\u00f6rdumiste filtreerimiseks, on viidud Flatpak'i poolt ja neid teostatakse juba p\u00e4rast privileegide t\u00fchistamist. Firejail aga \u00fchendab \u00fchte t\u00e4itmisfaili k\u00f5ik n\u00f5utavad funktsioonid, mis muudab selle kontrollimise ja turvalisuse s\u00e4ilitamise keerulisemaks. <\/p>\n
Uues v\u00e4ljaandes: <\/p>\n
\n
Lisatud valik «—disable-userns», mis keelab kasutaja nimede ruumi loomise liivakasti keskkonnas.\n
Lisatud valik «—assert-userns-disabled», et kontrollida, kas valiku » —disable-userns» kasutamisel on paigaldatud olemasolev kasutaja nimede ruum.\n
Suurendatud on vigade teateid, mis on seotud kernelis CONFIG_SECCOMP ja CONFIG_SECCOMP_FILTER seadete keelamisega. <\/ul>\n