Bubblewrap 0.12 -työkalusta, joka on tarkoitettu eristettyjen ympäristöjen järjestämiseen, on julkaistu uusi versio. Sitä käytetään rajoittamaan yksittäisten sovellusten käyttöä etuoikeutetuille käyttäjille. Käytännössä Flatpak-projekti käyttää Bubblewrapia kerroksena paketeista käynnistettyjen sovellusten eristämiseen. Tähän tarkoitukseen käytetään perinteisiä eristysmenetelmiä. Linux konttivirtualisointitekniikat, jotka perustuvat cgroupsien, nimiavaruuksien, Seccompin ja SE:n käyttöönLinuxProjektikoodi on kirjoitettu C-kielellä ja jaettu LGPLv2.1+-lisenssillä.
Eristäminen tiedostojärjestelmätasolla suoritetaan luomalla oletusarvoisesti uusi liitännän nimiavaruus, johon luodaan tyhjä juuriosio tmpfs:n avulla. Tarvittaessa tähän osioon liitetään ulkoiset FS-osiot "mount —bind"-tilassa (esimerkiksi kun se käynnistetään "bwrap -ro-bind /usr /usr" -vaihtoehdolla, /usr-osio välitetään pääjärjestelmästä. vain luku -tilassa). Verkkoominaisuudet rajoittuvat pääsyyn takaisinkytkentärajapintaan verkkopinon eristyksellä CLONE_NEWNET- ja CLONE_NEWUTS-lippujen kautta.
Kaikkien tarpeettomien käyttäjä- ja prosessitunnusten poissulkemiseksi luodusta eristetystä ympäristöstä voidaan käyttää CLONE_NEWUSER (käyttäjän nimiavaruus) ja CLONE_NEWPID (PID-nimiavaruus) -tiloja, ja PR_SET_NO_NEW_PRIVS-tilaa käytetään uusien oikeuksien hankkimisen estämiseen. "Käyttäjän nimiavaruus"-tilaa käytetään tarvittavien oikeuksien hankkimiseen.
Uudessa julkaisussa:
- Koodin lisenssi on muutettu LGPL 2.0+:sta LGPL 2.1+:een.
- Tuki suoritettavan tiedoston rakentamiselle, joka saa lisäoikeuksia suid-päämäärityksellä, on lopetettu. Tuki "käyttäjänimiavaruudelle" on nyt pakollinen. Syyksi mainitaan suid-määritteen ylläpidon monimutkaisuus, koska "käyttäjänimiavaruudelle" on laaja tuki jakeluissa.
- Lisätty "--not-a-security-boundary"-asetus, joka asetettuna estää tiettyjä eristetyn hiekkalaatikkoympäristön määrittämisen yhteydessä tapahtuvia virheitä, kuten aliavaimen uudelleenasennuksen, aiheuttamasta kaatumisen.
- Lisätty koontiasetus "assume_kernel", joka poistaa käytöstä yhteensopivuuden ytimien kanssa. Linux, vanhempi kuin määritetty versio. Esimerkiksi versioiden 5.6.0+ määrittäminen sulkee pois "openat2(RESOLVE_IN_ROOT)"-toiminnallisuuden vaihtoehtoisen toteutuksen.
Lähde: opennet.ru
