{"id":120438,"date":"2024-10-31T19:09:22","date_gmt":"2024-10-31T17:09:22","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bubblewrap-0-11-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij"},"modified":"2024-10-31T19:09:22","modified_gmt":"2024-10-31T17:09:22","slug":"vypusk-bubblewrap-0-11-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/vypusk-bubblewrap-0-11-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","title":{"rendered":"Bubblewrap 0.11, isoleeritud keskkondade loomise kiht","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Avalikustatud on uus versioon Bubblewrapi t\u00f6\u00f6riistadest, mis aitavad luua isoleeritud keskkondi, versioon 0.11, mida kasutatakse kasulikest rakendustest mitteprivilegeeritud kasutajate piiramiseks. Bubblewrapit kasutatakse projektis Flatpak rakenduste isoleerimiseks, mis k\u00e4ivitatakse pakettidest. Isolatsiooniks kasutatakse traditsioonilisi Linuxi konteinerite virtualiseerimise tehnoloogiaid, mis p\u00f5hinevad cgroups'i, nimede ruumide (namespaces), Seccomp'i ja SELinux'i kasutamisel. Projekti kood on kirjutatud C keeles ja levitatakse LGPLv2+ litsentsi alusel. <\/p>\n
Failis\u00fcsteemi tasandil isoleerimine toimub vaikimisi uue mount-nimede ruumi loomise kaudu, kus tmpfs-i abil luuakse t\u00fchi juurkataloog. Sellesse kataloogi liidetakse vajadusel v\u00e4lised failis\u00fcsteemid «mount —bind» re\u017eiimis (n\u00e4iteks, kui k\u00e4ivitatakse koos valikuga «bwrap —ro-bind \/usr \/usr», siis liidetakse \/usr l\u00f5ik peamisest s\u00fcsteemist ainult lugemisre\u017eiimis). V\u00f5rgufunktsionaalsus piirdub ringh\u00e4\u00e4linguliidesele juurdep\u00e4\u00e4suga ning v\u00f5rgu steigi isoleerimisega l\u00e4bi flagide CLONE_NEWNET ja CLONE_NEWUTS. <\/p>\n
K\u00f5ikide liigsete kasutaja ja protsessi \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043aatorite v\u00e4listamiseks loodavas isoleeritud keskkonnas saab kasutada re\u017eiime CLONE_NEWUSER (kasutaja nimede ruum) ja CLONE_NEWPID (PID nimede ruum), ning uute privileegide saamise keelamiseks kasutatakse re\u017eiimi PR_SET_NO_NEW_PRIVS. S\u00fcsteemides, kus on «kasutaja nimede ruum», saab Bubblewrap k\u00e4ivitada tavalise kasutajana, kuid s\u00fcsteemides, kus puudub «kasutaja nimede ruum», v\u00f5ib seda kasutada suid root lipuga, et teostada vajalik isoleeritud keskkonna initsialiseerimine. <\/p>\n
Uues v\u00e4ljaandes: <\/p>\n
\n
On antud v\u00f5imalus luua mount-punkte, kus kasutatakse \u00fchekihilist failis\u00fcsteemi OverlayFS, mis \u00fchendab mitu osa teistest failis\u00fcsteemidest. OverlayFS-i kasutamise haldamiseks on pakutud uusi k\u00e4surea valikuid «—overlay», «—tmp-overlay», «—ro-overlay» ja «—overlay-src».\n
Lisatud on valik «—level-prefix» diagnostilise v\u00e4ljundi prioriteetide taseme lisamiseks syslog'i stiilis, mis v\u00f5imaldab kasutada v\u00e4ljundi t\u00f6\u00f6tlemiseks selliseid utiliite nagu «logger» ja «systemd-cat».\n
Toetust koostamiss\u00fcsteemile Autotools on l\u00f5petatud. Kiireks t\u00f5stmiseks on n\u00fc\u00fcd vajalik Meson t\u00f6\u00f6riistade komplekt. <\/ul>\n