{"id":53324,"date":"2019-11-29T00:00:00","date_gmt":"2019-11-28T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/vypusk-bubblewrap-0-4-0-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij"},"modified":"2020-02-18T14:01:13","modified_gmt":"2020-02-18T11:01:13","slug":"vypusk-bubblewrap-0-4-0-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/vypusk-bubblewrap-0-4-0-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","title":{"rendered":"Sortie de Bubblewrap 0.4.0, une couche pour cr\u00e9er des environnements isol\u00e9s","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Disponible<\/a><\/noindex> nouvelle version de l'outil Bubblewrap 0.4.0<\/a><\/noindex>, con\u00e7u pour organiser le travail d'environnements isol\u00e9s sous Linux et fonctionnant au niveau des applications pour les utilisateurs non privil\u00e9gi\u00e9s. En pratique, Bubblewrap est utilis\u00e9 par le projet Flatpak comme couche d'isolation pour les applications lanc\u00e9es \u00e0 partir de paquets. Le code du projet est \u00e9crit en C et est distribu\u00e9<\/a><\/noindex> sous licence LGPLv2+.<\/p>\n

L'isolation utilise des technologies de virtualisation de conteneurs traditionnelles pour Linux, bas\u00e9es sur l'utilisation de cgroups, d'espaces de noms (namespaces), de Seccomp et de SELinux. Pour effectuer des op\u00e9rations privil\u00e9gi\u00e9es de configuration du conteneur, Bubblewrap est lanc\u00e9 avec les droits root (fichier ex\u00e9cutable avec le drapeau suid) et les privil\u00e8ges sont ensuite r\u00e9initialis\u00e9s apr\u00e8s l'initialisation du conteneur. <\/p>\n

L'activation des espaces de noms d'identifiants utilisateur (user namespaces), permettant d'utiliser un ensemble distinct d'identifiants dans les conteneurs, n'est pas n\u00e9cessaire pour le fonctionnement, car par d\u00e9faut, elle ne fonctionne pas dans de nombreuses distributions (Bubblewrap est positionn\u00e9 comme une impl\u00e9mentation suid limit\u00e9e d'un sous-ensemble des fonctionnalit\u00e9s des espaces de noms d'identifiants utilisateur \u2014 pour exclure tous les identifiants d'utilisateur et de processus de l'environnement, \u00e0 l'exception de celui en cours, les modes CLONE_NEWUSER et CLONE_NEWPID sont utilis\u00e9s). Pour une protection suppl\u00e9mentaire, les ex\u00e9cutables fonctionnant sous
\n L'isolation au niveau du syst\u00e8me de fichiers se fait par la cr\u00e9ation par d\u00e9faut d'un nouvel espace de noms de points de montage (mount namespace), dans lequel un r\u00e9pertoire racine vide est cr\u00e9\u00e9 \u00e0 l'aide de tmpfs. Des partitions de syst\u00e8mes de fichiers externes peuvent \u00eatre mont\u00e9es dans ce r\u00e9pertoire en mode \u00ab mount \u2014bind \u00bb si n\u00e9cessaire (par exemple, lors du lancement avec l'option \u00ab bwrap \u2014ro-bind \/usr \/usr \u00bb, la partition \/usr est transf\u00e9r\u00e9e du syst\u00e8me principal en mode lecture seule). Les capacit\u00e9s r\u00e9seau sont limit\u00e9es \u00e0 l'acc\u00e8s \u00e0 l'interface loopback avec l'isolation de la pile r\u00e9seau via les drapeaux CLONE_NEWNET et CLONE_NEWUTS. <\/p>\n

L'isolement au niveau du syst\u00e8me de fichiers est r\u00e9alis\u00e9 par la cr\u00e9ation par d\u00e9faut d'un nouvel espace de noms de points de montage (mount namespace), dans lequel un r\u00e9pertoire racine vide est cr\u00e9\u00e9 \u00e0 l'aide de tmpfs. Dans ce r\u00e9pertoire, des partitions de syst\u00e8mes de fichiers externes peuvent \u00eatre mont\u00e9es en mode \u00ab mount \u2014bind \u00bb (par exemple, lors du lancement avec l'option \u00ab bwrap \u2014ro-bind \/usr \/usr \u00bb, la partition \/usr est transf\u00e9r\u00e9e du syst\u00e8me principal en mode lecture seule). Les fonctionnalit\u00e9s r\u00e9seau sont limit\u00e9es \u00e0 l'acc\u00e8s \u00e0 l'interface loopback avec isolation de la pile r\u00e9seau via les drapeaux CLONE_NEWNET et CLONE_NEWUTS.<\/p>\n

Firejail Firejail<\/a><\/noindex>, qui utilise \u00e9galement un mod\u00e8le de lancement avec application de setuid, est que dans Bubblewrap, la couche de cr\u00e9ation de conteneurs inclut uniquement le minimum n\u00e9cessaire de fonctionnalit\u00e9s, tandis que toutes les fonctions \u00e9tendues requises pour ex\u00e9cuter des applications graphiques, interagir avec le bureau et filtrer les requ\u00eates \u00e0 Pulseaudio, sont d\u00e9plac\u00e9es du c\u00f4t\u00e9 de Flatpak et ex\u00e9cut\u00e9es apr\u00e8s le retrait des privil\u00e8ges. En revanche, Firejail regroupe toutes les fonctions associ\u00e9es dans un seul fichier ex\u00e9cutable, ce qui complique son audit et le maintien de la s\u00e9curit\u00e9. au niveau requis<\/a><\/noindex>.<\/p>\n

La nouvelle version est remarquable en raison de l'impl\u00e9mentation du support pour l'attachement des espaces de noms d'identifiants utilisateur existants (user namespaces) et des processus (pid namespaces). Pour g\u00e9rer la connexion des espaces de noms, les options \u00ab \u2014userns \u00bb, \u00ab \u2014userns2 \u00bb et \u00ab \u2014pidns \u00bb ont \u00e9t\u00e9 ajout\u00e9es.
\nCette fonctionnalit\u00e9 ne fonctionne pas en mode setuid et n\u00e9cessite l'utilisation d'un mode distinct, qui peut fonctionner sans obtenir les droits root, mais n\u00e9cessite son activation.
\nles user namespaces dans le syst\u00e8me (d\u00e9sactiv\u00e9s par d\u00e9faut dans Debian et RHEL\/CentOS) et n'exclut pas la possibilit\u00e9 d'exploitation<\/a><\/noindex> potentiellement<\/a><\/noindex> celles qui restent<\/a><\/noindex> des vuln\u00e9rabilit\u00e9s<\/a><\/noindex> pour le respect des restrictions \u00ab user namespaces \u00bb. Parmi les nouvelles fonctionnalit\u00e9s, Bubblewrap 0.4 inclut \u00e9galement la possibilit\u00e9 de compilation avec la biblioth\u00e8que C musl au lieu de glibc et le support pour la sauvegarde des informations sur les espaces de noms dans un fichier de statistiques au format JSON.<\/p>\n

<\/a><\/noindex><\/p>\n

Source : opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0414\u043e\u0441\u0442\u0443\u043f\u0435\u043d \u043d\u043e\u0432\u044b\u0439 \u0432\u044b\u043f\u0443\u0441\u043a \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u044f Bubblewrap 0.4.0, \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u043d\u043e\u0433\u043e \u0434\u043b\u044f \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438 \u0440\u0430\u0431\u043e\u0442\u044b \u0438\u0437\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u0439 \u0432 Linux \u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0438\u0440\u0443\u044e\u0449\u0438\u0439 \u043d\u0430 \u0443\u0440\u043e\u0432\u043d\u0435 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439 \u043d\u0435\u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439. \u041d\u0430 \u043f\u0440\u0430\u043a\u0442\u0438\u043a\u0435 Bubblewrap \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u043c Flatpak \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043f\u0440\u043e\u0441\u043b\u043e\u0439\u043a\u0438 \u0434\u043b\u044f \u0438\u0437\u043e\u043b\u044f\u0446\u0438\u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u043c\u044b\u0445 \u0438\u0437 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439. \u041a\u043e\u0434 \u043f\u0440\u043e\u0435\u043a\u0442\u0430 \u043d\u0430\u043f\u0438\u0441\u0430\u043d \u043d\u0430 \u044f\u0437\u044b\u043a\u0435 \u0421\u0438 \u0438 \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u044f\u0435\u0442\u0441\u044f \u043f\u043e\u0434 \u043b\u0438\u0446\u0435\u043d\u0437\u0438\u0435\u0439 LGPLv2+. \u0414\u043b\u044f \u0438\u0437\u043e\u043b\u044f\u0446\u0438\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f \u0442\u0440\u0430\u0434\u0438\u0446\u0438\u043e\u043d\u043d\u044b\u0435 \u0434\u043b\u044f Linux \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u0438 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043d\u043e\u0439 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-53324","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Sortie de Bubblewrap 0.4.0, la couche pour cr\u00e9er des environnements isol\u00e9s | ProHoster","description":"Une nouvelle version de l'outil est disponible","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/vypusk-bubblewrap-0-4-0-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412\u044b\u043f\u0443\u0441\u043a Bubblewrap 0.4.0, \u043f\u0440\u043e\u0441\u043b\u043e\u0439\u043a\u0438 \u0434\u043b\u044f \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0438\u0437\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u0439 | ProHoster","og:description":"\u0414\u043e\u0441\u0442\u0443\u043f\u0435\u043d \u043d\u043e\u0432\u044b\u0439 \u0432\u044b\u043f\u0443\u0441\u043a \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u044f","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/vypusk-bubblewrap-0-4-0-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-11-28T21:00:00+00:00","article:modified_time":"2020-02-18T11:01:13+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"53324","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-24 06:56:20","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:27:38","updated":"2026-01-24 06:56:20","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/53324","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=53324"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/53324\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=53324"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=53324"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=53324"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}