Sortie de Bubblewrap 0.9, un outil pour créer des environnements isolés.

Après un an de développement, une nouvelle version de l'outil pour organiser le travail dans des environnements isolés, Bubblewrap 0.9, a été publiée. Cet outil est utilisé pour limiter les applications des utilisateurs non privilégiés. En pratique, Bubblewrap est appliqué par le projet Flatpak comme une couche d'isolation pour les applications lancées à partir de paquets. Le code du projet est écrit en langage C et est distribué sous la licence LGPLv2+.

L'isolation utilise des technologies de virtualisation de conteneurs traditionnelles pour Linux, basées sur l'utilisation de cgroups, d'espaces de noms (namespaces), de Seccomp et de SELinux. Pour effectuer des opérations privilégiées de configuration du conteneur, Bubblewrap est lancé avec les droits root (fichier exécutable avec le drapeau suid) et les privilèges sont ensuite réinitialisés après l'initialisation du conteneur.

L'activation dans le système d'espaces de noms d'identifiants d'utilisateur (user namespaces), permettant d'utiliser un ensemble distinct d'identifiants dans les conteneurs, n'est pas requise pour le fonctionnement, car par défaut, elle ne fonctionne pas sur de nombreuses distributions (Bubblewrap est positionné comme une implémentation suid limitée d'un sous-ensemble des fonctionnalités des espaces de noms d'utilisateurs — pour exclure tous les identifiants d'utilisateurs et de processus de l'environnement, sauf pour le courant, les modes CLONE_NEWUSER et CLONE_NEWPID sont utilisés). Pour une protection supplémentaire, les programmes exécutés sous Bubblewrap sont lancés en mode PR_SET_NO_NEW_PRIVS, interdisant l'acquisition de nouveaux privilèges, par exemple en cas de présence du drapeau setuid.

La principale distinction par rapport à un projet similaire

La distinction clé par rapport à un projet similaire, Firejail, qui utilise également un modèle de démarrage avec application de setuid, est que dans Bubblewrap, la couche de création de conteneurs n'inclut que le minimum requis de fonctionnalités, tandis que toutes les fonctions avancées nécessaires au lancement d'applications graphiques, à l'interaction avec le bureau et à la filtration des appels à Pulseaudio, sont transférées à Flatpak et exécutées après que les privilèges aient été réinitialisés. Firejail, quant à lui, regroupe toutes les fonctions associées dans un seul fichier exécutable, ce qui complique son audit et sa gestion de la sécurité.

Dans cette nouvelle version :

• Les fichiers générés dans Autotools ont été supprimés du paquet avec les sources. Il est désormais recommandé d'utiliser le système de construction Meson. Le support optionnel d'Autotools est encore conservé, mais il est prévu de l'éliminer dans les futures versions.
• Une option « —argv0 » a été ajoutée pour définir la valeur du premier argument de la ligne de commande (argv[0] — le nom du fichier exécutable, par exemple « —argv0 /usr/bin/test »).
• L'option « —symlink » ne fonctionne désormais que lorsque le lien symbolique existe déjà et pointe vers le fichier cible souhaité.
• L'option «—cap-add» est documentée, utilisée pour définir des drapeaux de capacité, par exemple «CAP_DAC_READ_SEARCH».
• La clarté des messages d'erreur générés lors des échecs de montage a été améliorée.
• Le processus de création de tests unitaires a été simplifié.
• Le support des anciennes versions de Python a été abandonné dans les exemples d'utilisation.
• Les opérations de gestion de la mémoire ont été améliorées.

Source : opennet.ru