Sortie de Bubblewrap 0.4.0, une couche pour créer des environnements isolés

Disponible nouvelle version de l'outil Bubblewrap 0.4.0, conçu pour organiser le travail d'environnements isolés sous Linux et fonctionnant au niveau des applications pour les utilisateurs non privilégiés. En pratique, Bubblewrap est utilisé par le projet Flatpak comme couche d'isolation pour les applications lancées à partir de paquets. Le code du projet est écrit en C et est distribué sous licence LGPLv2+.

L'isolation utilise des technologies de virtualisation de conteneurs traditionnelles pour Linux, basées sur l'utilisation de cgroups, d'espaces de noms (namespaces), de Seccomp et de SELinux. Pour effectuer des opérations privilégiées de configuration du conteneur, Bubblewrap est lancé avec les droits root (fichier exécutable avec le drapeau suid) et les privilèges sont ensuite réinitialisés après l'initialisation du conteneur.

L'activation dans le système d'espaces de noms d'identificateurs d'utilisateur (user namespaces), permettant d'utiliser dans les conteneurs un ensemble d'identificateurs distinct, n'est pas nécessaire pour le fonctionnement, car elle n'est pas activée par défaut dans de nombreuses distributions (Bubblewrap est positionné comme une implémentation suid limitée d'un sous-ensemble des possibilités des user namespaces — pour exclure tous les identificateurs d'utilisateurs et de processus de l'environnement, à l'exception de celui en cours, les modes CLONE_NEWUSER et CLONE_NEWPID sont utilisés). Pour une protection supplémentaire, les programmes exécutés sous Bubblewrap sont lancés en mode PR_SET_NO_NEW_PRIVS, interdisant l'acquisition de nouveaux privilèges, par exemple, en présence d'un drapeau setuid.
L'isolation au niveau du système de fichiers se fait par la création par défaut d'un nouvel espace de noms de points de montage (mount namespace), dans lequel un répertoire racine vide est créé à l'aide de tmpfs. Des partitions de systèmes de fichiers externes peuvent être montées dans ce répertoire en mode « mount —bind » si nécessaire (par exemple, lors du lancement avec l'option « bwrap —ro-bind /usr /usr », la partition /usr est transférée du système principal en mode lecture seule). Les capacités réseau sont limitées à l'accès à l'interface loopback avec l'isolation de la pile réseau via les drapeaux CLONE_NEWNET et CLONE_NEWUTS.

La principale distinction par rapport à un projet similaire

Firejail Firejail, qui utilise également un modèle de lancement avec application de setuid, est que dans Bubblewrap, la couche de création de conteneurs inclut uniquement le minimum nécessaire de fonctionnalités, tandis que toutes les fonctions étendues requises pour exécuter des applications graphiques, interagir avec le bureau et filtrer les requêtes à Pulseaudio, sont déplacées du côté de Flatpak et exécutées après le retrait des privilèges. En revanche, Firejail regroupe toutes les fonctions associées dans un seul fichier exécutable, ce qui complique son audit et le maintien de la sécurité. au niveau requis.

La nouvelle version se distingue par la mise en œuvre du support de la connexion d'espaces de noms d'identifiants d'utilisateurs (user namespaces) et de processus (pid namespaces). Des drapeaux tels que «—userns», «—userns2» et «—pidns» ont été ajoutés pour gérer la connexion des espaces de noms.
Cette fonctionnalité ne fonctionne pas en mode setuid et nécessite l'utilisation d'un mode distinct, qui peut fonctionner sans obtenir les droits root, mais nécessite son activation.
les user namespaces dans le système (désactivés par défaut dans Debian et RHEL/CentOS) et n'exclut pas la possibilité d'exploitation potentiellement celles qui restent des vulnérabilités pour contourner les restrictions des «user namespaces». Parmi les nouvelles fonctionnalités de Bubblewrap 0.4, on note également la possibilité de compilation avec la bibliothèque C musl au lieu de glibc et le support de la sauvegarde des informations sur les espaces de noms dans un fichier de statistiques au format JSON.

Source : opennet.ru