Une nouvelle version de l'outil pour l'organisation du travail dans des environnements isolés, Bubblewrap 0.11, a été publiée. Cet outil est utilisé pour restreindre les applications spécifiques des utilisateurs non privilégiés. En pratique, Bubblewrap est utilisé par le projet Flatpak comme couche d'isolation pour les applications lancées à partir de paquets. Pour l'isolation, des technologies de virtualisation de conteneurs traditionnelles basées sur l'utilisation de cgroups, d'espaces de noms (namespaces), de Seccomp et de SELinux sont utilisées. Le code du projet est écrit en langage C et est distribué sous la licence LGPLv2+.
La principale distinction par rapport à un projet similaire
Pour exclure tous les identifiants d'utilisateurs et de processus superflus de l'environnement isolé créé, les modes CLONE_NEWUSER (namespace utilisateur) et CLONE_NEWPID (namespace PID) peuvent être utilisés, tandis que pour interdire l'acquisition de nouveaux privilèges, le mode PR_SET_NO_NEW_PRIVS est appliqué. Sur les systèmes avec « user namespace », Bubblewrap peut être exécuté par un utilisateur normal, tandis que sur les systèmes sans « user namespace », il peut être utilisé avec le drapeau suid root pour effectuer l'initialisation requise de l'environnement isolé.
Dans cette nouvelle version :
- La possibilité de créer des points de montage a été fournie, où un système de fichiers mono-couche OverlayFS est utilisé, combinant plusieurs parties d'autres systèmes de fichiers. De nouvelles options de ligne de commande ont été proposées pour gérer l'utilisation d'OverlayFS : « —overlay », « —tmp-overlay », « —ro-overlay » et « —overlay-src ».
- L'option « —level-prefix » a été ajoutée pour substituer le niveau de priorité dans la sortie de diagnostic au format syslog, ce qui permet d'utiliser des utilitaires comme « logger » et « systemd-cat » pour traiter la sortie.
- La prise en charge du système de construction Autotools a été interrompue. L'outil Meson est désormais nécessaire pour la construction.
Source : opennet.ru
