{"id":101071,"date":"2021-08-21T16:22:59","date_gmt":"2021-08-21T14:22:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bubblewrap-0-5-0-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij"},"modified":"2021-08-21T16:22:59","modified_gmt":"2021-08-21T14:22:59","slug":"vypusk-bubblewrap-0-5-0-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/vypusk-bubblewrap-0-5-0-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","title":{"rendered":"Publication de Bubblewrap 0.5.0, un conteneur pour cr\u00e9er des environnements isol\u00e9s","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La version de l'outil Bubblewrap 0.5.0, g\u00e9n\u00e9ralement utilis\u00e9e pour restreindre les applications des utilisateurs non privil\u00e9gi\u00e9s, est maintenant disponible pour organiser le travail dans des environnements isol\u00e9s. En pratique, Bubblewrap est utilis\u00e9 par le projet Flatpak comme couche d'isolation pour les applications ex\u00e9cut\u00e9es \u00e0 partir de paquets. Le code du projet est \u00e9crit en langage C et est distribu\u00e9 sous la licence LGPLv2+. <\/p>\n
L'isolation utilise des technologies de virtualisation de conteneurs traditionnelles pour Linux, bas\u00e9es sur l'utilisation de cgroups, d'espaces de noms (namespaces), de Seccomp et de SELinux. Pour effectuer des op\u00e9rations privil\u00e9gi\u00e9es de configuration du conteneur, Bubblewrap est lanc\u00e9 avec les droits root (fichier ex\u00e9cutable avec le drapeau suid) et les privil\u00e8ges sont ensuite r\u00e9initialis\u00e9s apr\u00e8s l'initialisation du conteneur. <\/p>\n
L'activation dans le syst\u00e8me des espaces de noms d'identifiants utilisateur (user namespaces), qui permettent d'utiliser un ensemble distinct d'identifiants dans les conteneurs, n'est pas n\u00e9cessaire, car par d\u00e9faut elle ne fonctionne pas dans de nombreuses distributions (Bubblewrap se positionne comme une r\u00e9alisation suid limit\u00e9e d'un sous-ensemble des capacit\u00e9s des user namespaces \u2014 pour exclure tous les identifiants des utilisateurs et des processus de l'environnement, sauf celui en cours, les modes CLONE_NEWUSER et CLONE_NEWPID sont utilis\u00e9s). Pour une protection suppl\u00e9mentaire, les programmes ex\u00e9cut\u00e9s sous Bubblewrap sont lanc\u00e9s en mode PR_SET_NO_NEW_PRIVS, interdisant l'acquisition de nouveaux privil\u00e8ges, par exemple en cas de pr\u00e9sence du drapeau setuid. <\/p>\n
L'isolement au niveau du syst\u00e8me de fichiers est r\u00e9alis\u00e9 par la cr\u00e9ation par d\u00e9faut d'un nouvel espace de noms de points de montage (mount namespace), dans lequel un r\u00e9pertoire racine vide est cr\u00e9\u00e9 \u00e0 l'aide de tmpfs. Dans ce r\u00e9pertoire, des partitions de syst\u00e8mes de fichiers externes peuvent \u00eatre mont\u00e9es en mode \u00ab mount \u2014bind \u00bb (par exemple, lors du lancement avec l'option \u00ab bwrap \u2014ro-bind \/usr \/usr \u00bb, la partition \/usr est transf\u00e9r\u00e9e du syst\u00e8me principal en mode lecture seule). Les fonctionnalit\u00e9s r\u00e9seau sont limit\u00e9es \u00e0 l'acc\u00e8s \u00e0 l'interface loopback avec isolation de la pile r\u00e9seau via les drapeaux CLONE_NEWNET et CLONE_NEWUTS. <\/p>\n
La distinction cl\u00e9 par rapport \u00e0 un projet similaire, Firejail, qui utilise \u00e9galement un mod\u00e8le de d\u00e9marrage avec application de setuid, est que dans Bubblewrap, la couche de cr\u00e9ation de conteneurs n'inclut que le minimum requis de fonctionnalit\u00e9s, tandis que toutes les fonctions avanc\u00e9es n\u00e9cessaires au lancement d'applications graphiques, \u00e0 l'interaction avec le bureau et \u00e0 la filtration des appels \u00e0 Pulseaudio, sont transf\u00e9r\u00e9es \u00e0 Flatpak et ex\u00e9cut\u00e9es apr\u00e8s que les privil\u00e8ges aient \u00e9t\u00e9 r\u00e9initialis\u00e9s. Firejail, quant \u00e0 lui, regroupe toutes les fonctions associ\u00e9es dans un seul fichier ex\u00e9cutable, ce qui complique son audit et sa gestion de la s\u00e9curit\u00e9. <\/p>\n
Dans la nouvelle version, des options ont \u00e9t\u00e9 propos\u00e9es : \u00ab --chmod \u00bb pour modifier les permissions d'acc\u00e8s, \u00ab --clearenv \u00bb pour nettoyer les variables d'environnement (sauf PWD) et \u00ab --perms \u00bb pour d\u00e9finir les permissions utilis\u00e9es lors de l'ex\u00e9cution des op\u00e9rations \u00ab --bind-data \u00bb, \u00ab --dir \u00bb, \u00ab --file \u00bb, \u00ab --ro-bind-data \u00bb et \u00ab --tmpfs \u00bb. Le diagnostic des probl\u00e8mes survenant en cas d'\u00e9chec de montage en mode bind a \u00e9t\u00e9 am\u00e9lior\u00e9. Pour zsh, le support de l'auto-compl\u00e9tion des commandes par la touche tabulation a \u00e9t\u00e9 ajout\u00e9. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"