Version de Bubblewrap 0.8, une couche pour créer des environnements isolés

La version 0.8 de l'outil Bubblewrap pour l'organisation du travail dans des environnements isolés est désormais disponible. Il est généralement utilisé pour limiter l'accès à des applications spécifiques pour des utilisateurs non privilégiés. En pratique, Bubblewrap est utilisé par le projet Flatpak comme une couche d'isolation pour les applications exécutées à partir de paquets. Le code du projet est écrit en C et distribué sous la licence LGPLv2+.

L'isolation utilise des technologies de virtualisation de conteneurs traditionnelles pour Linux, basées sur l'utilisation de cgroups, d'espaces de noms (namespaces), de Seccomp et de SELinux. Pour effectuer des opérations privilégiées de configuration du conteneur, Bubblewrap est lancé avec les droits root (fichier exécutable avec le drapeau suid) et les privilèges sont ensuite réinitialisés après l'initialisation du conteneur.

L'activation dans le système d'espaces de noms d'identifiants d'utilisateur (user namespaces), permettant d'utiliser un ensemble distinct d'identifiants dans les conteneurs, n'est pas requise pour le fonctionnement, car par défaut, elle ne fonctionne pas sur de nombreuses distributions (Bubblewrap est positionné comme une implémentation suid limitée d'un sous-ensemble des fonctionnalités des espaces de noms d'utilisateurs — pour exclure tous les identifiants d'utilisateurs et de processus de l'environnement, sauf pour le courant, les modes CLONE_NEWUSER et CLONE_NEWPID sont utilisés). Pour une protection supplémentaire, les programmes exécutés sous Bubblewrap sont lancés en mode PR_SET_NO_NEW_PRIVS, interdisant l'acquisition de nouveaux privilèges, par exemple en cas de présence du drapeau setuid.

La principale distinction par rapport à un projet similaire

La distinction clé par rapport à un projet similaire, Firejail, qui utilise également un modèle de démarrage avec application de setuid, est que dans Bubblewrap, la couche de création de conteneurs n'inclut que le minimum requis de fonctionnalités, tandis que toutes les fonctions avancées nécessaires au lancement d'applications graphiques, à l'interaction avec le bureau et à la filtration des appels à Pulseaudio, sont transférées à Flatpak et exécutées après que les privilèges aient été réinitialisés. Firejail, quant à lui, regroupe toutes les fonctions associées dans un seul fichier exécutable, ce qui complique son audit et sa gestion de la sécurité.

Dans cette nouvelle version :

• Une option « —disable-userns » a été ajoutée pour désactiver la création d'un espace de noms d'identifiants utilisateurs dans l'environnement sandbox.
• Une option « —assert-userns-disabled » a été ajoutée pour vérifier qu'un espace de noms d'identifiants utilisateurs existant est utilisé avec l'option « —disable-userns » activée.
• La clarté des messages d'erreur liés à la désactivation des réglages CONFIG_SECCOMP et CONFIG_SECCOMP_FILTER dans le noyau a été améliorée.

Source : opennet.ru