Avalikustatud on uus t\u00f6\u00f6riistade versioon, Bubblewrap 0.12, mis on m\u00f5eldud isoleeritud keskkondade t\u00f6\u00f6tamise korraldamiseks ja mida kasutatakse privileege mitteomavate kasutajate \u00fcksikute rakenduste piiramise jaoks. Praktikas kasutatakse Bubblewrapi projekti Flatpak, et isoleerida pakettidest k\u00e4ivitatavaid rakendusi. Isoleerimiseks kasutatakse Linuxi traditsioonilisi konteinerite virtualiseerimist\u00f6\u00f6tlemise tehnoloogiaid, mis p\u00f5hinevad cgroupide, nimiruumide (namespaces), Seccompi ja SELinuxi kasutamisel. Projekti kood on kirjutatud C keeles ja seda levitatakse LGPLv2.1+ litsentsi alusel. <\/p>\n
Failis\u00fcsteemi tasandil isoleerimine toimub vaikimisi uue mount-nimede ruumi loomise kaudu, kus tmpfs-i abil luuakse t\u00fchi juurkataloog. Sellesse kataloogi liidetakse vajadusel v\u00e4lised failis\u00fcsteemid «mount —bind» re\u017eiimis (n\u00e4iteks, kui k\u00e4ivitatakse koos valikuga «bwrap —ro-bind \/usr \/usr», siis liidetakse \/usr l\u00f5ik peamisest s\u00fcsteemist ainult lugemisre\u017eiimis). V\u00f5rgufunktsionaalsus piirdub ringh\u00e4\u00e4linguliidesele juurdep\u00e4\u00e4suga ning v\u00f5rgu steigi isoleerimisega l\u00e4bi flagide CLONE_NEWNET ja CLONE_NEWUTS. <\/p>\n
Kasutatakse CLONE_NEWUSER (kasutaja nimistu) ja CLONE_NEWPID (PID nimistu) re\u017eiime, et eemaldada k\u00f5ik \u00fcleliigsed kasutaja ja protsesside identifikaatorid loodud isoleeritud keskkonnast, ning uute privileegide saamise keelamiseks kasutatakse PR_SET_NO_NEW_PRIVS re\u017eiimi. Vajalikud privileegid saadakse «kasutaja nimistus». <\/p>\n
Uues v\u00e4ljaandes: <\/p>\n
\n
Koodi litsents on muudetud LGPL 2.0+ -st LGPL 2.1+ -ks.\n
Toetuse andmine toimingule, mis genereerib t\u00e4iendavaid privileege suid root lipu abil, on l\u00f5petatud. S\u00fcsteemis peab n\u00fc\u00fcd olema kohustuslik toekasutuse «kasutaja nimistus» olemasolu. P\u00f5hjuseks nimetatakse suid-lipu n\u00f5udliku hooldamise keerukust, arvestades «kasutaja nimistu» laialdast toetust distributsioonides.\n
Lisatud on valik «--not-a-security-boundary», mille korral teatud t\u00f5rked isoleeritud liivalae keskkonna seadistamisel, nagu alamjaotuse taaskinnitamist, ei p\u00f5hjusta s\u00fcsteemi kokkuvarisemist.\n
Lisatud on koostamisvalik «assume_kernel», mis keelab \u00fchilduvuse tagamise Linuxi tuumadega, mis on vanemad kui m\u00e4\u00e4ratud versioon. N\u00e4iteks versioonide 5.6.0+ m\u00e4\u00e4ramine toob kaasa alternatiivse rakenduse funktsionaalsusele «openat2(RESOLVE_IN_ROOT)». <\/ul>\n