બબલવ્રેપ 0.6નું પ્રકાશન, અલગ વાતાવરણ બનાવવા માટેનું સ્તર

બબલવ્રેપ 0.6 અલગ-અલગ વાતાવરણના કાર્યને ગોઠવવા માટેના સાધનોનું પ્રકાશન ઉપલબ્ધ છે, જેનો ઉપયોગ સામાન્ય રીતે બિન-વિશિષ્ટ વપરાશકર્તાઓની વ્યક્તિગત એપ્લિકેશનોને પ્રતિબંધિત કરવા માટે થાય છે. વ્યવહારમાં, ફ્લેટપેક પ્રોજેક્ટ દ્વારા પેકેજોમાંથી લોન્ચ કરાયેલી એપ્લિકેશનોને અલગ કરવા માટે એક સ્તર તરીકે બબલરેપનો ઉપયોગ કરવામાં આવે છે. પ્રોજેક્ટ કોડ C માં લખાયેલ છે અને LGPLv2+ લાયસન્સ હેઠળ વિતરિત કરવામાં આવે છે.

અલગતા માટે, પરંપરાગત Linux કન્ટેનર વર્ચ્યુઅલાઈઝેશન તકનીકોનો ઉપયોગ કરવામાં આવે છે, જે cgroups, નેમસ્પેસ, Seccomp અને SELinux ના ઉપયોગ પર આધારિત છે. કન્ટેનરને રૂપરેખાંકિત કરવા માટે વિશેષાધિકૃત કામગીરી કરવા માટે, બબલવ્રેપને રૂટ અધિકારો (સ્યુડ ફ્લેગ સાથે એક્ઝિક્યુટેબલ ફાઇલ) સાથે લોન્ચ કરવામાં આવે છે અને પછી કન્ટેનર શરૂ થયા પછી વિશેષાધિકારો ફરીથી સેટ કરે છે.

નેમસ્પેસ સિસ્ટમમાં યુઝર નેમસ્પેસનું સક્રિયકરણ, જે તમને કન્ટેનરમાં તમારા પોતાના ઓળખકર્તાઓના અલગ સેટનો ઉપયોગ કરવાની મંજૂરી આપે છે, તે ઓપરેશન માટે જરૂરી નથી, કારણ કે તે ઘણા વિતરણોમાં ડિફોલ્ટ રૂપે કામ કરતું નથી (બબલવ્રેપ મર્યાદિત સુઇડ અમલીકરણ તરીકે સ્થિત છે. વપરાશકર્તા નેમસ્પેસ ક્ષમતાઓનો સબસેટ - તમામ વપરાશકર્તા અને પ્રક્રિયા ઓળખકર્તાઓને પર્યાવરણમાંથી બાકાત રાખવા માટે, વર્તમાન સિવાય, CLONE_NEWUSER અને CLONE_NEWPID મોડ્સનો ઉપયોગ થાય છે). વધારાના રક્ષણ માટે, બબલવ્રેપ હેઠળ અમલમાં મુકાયેલા પ્રોગ્રામ્સ PR_SET_NO_NEW_PRIVS મોડમાં શરૂ કરવામાં આવે છે, જે નવા વિશેષાધિકારોના સંપાદન પર પ્રતિબંધ મૂકે છે, ઉદાહરણ તરીકે, જો સેટ્યુડ ફ્લેગ હાજર હોય.

ફાઇલ સિસ્ટમ સ્તર પર આઇસોલેશન એ મૂળભૂત રીતે નવી માઉન્ટ નેમસ્પેસ બનાવીને પરિપૂર્ણ થાય છે, જેમાં tmpfs ની મદદથી ખાલી રૂટ પાર્ટીશન બનાવવામાં આવે છે. જો જરૂરી હોય તો, બાહ્ય FS પાર્ટીશનો આ પાર્ટીશન સાથે “mount —bind” મોડમાં જોડાયેલા હોય છે (ઉદાહરણ તરીકે, જ્યારે “bwrap —ro-bind /usr/usr” વિકલ્પ સાથે લોન્ચ કરવામાં આવે છે, ત્યારે /usr પાર્ટીશનને મુખ્ય સિસ્ટમમાંથી ફોરવર્ડ કરવામાં આવે છે. ફક્ત-વાંચવા મોડમાં). નેટવર્ક ક્ષમતાઓ CLONE_NEWNET અને CLONE_NEWUTS ફ્લેગ્સ દ્વારા નેટવર્ક સ્ટેક આઇસોલેશન સાથે લૂપબેક ઇન્ટરફેસની ઍક્સેસ સુધી મર્યાદિત છે.

સમાન ફાયરજેલ પ્રોજેક્ટનો મુખ્ય તફાવત, જે સેટ્યુડ લોન્ચ મોડલનો પણ ઉપયોગ કરે છે, તે એ છે કે બબલવ્રેપમાં કન્ટેનર બનાવવાના સ્તરમાં માત્ર જરૂરી ન્યૂનતમ ક્ષમતાઓ અને ગ્રાફિકલ એપ્લિકેશન ચલાવવા, ડેસ્કટોપ સાથે ક્રિયાપ્રતિક્રિયા કરવા અને વિનંતીઓ ફિલ્ટર કરવા માટે જરૂરી તમામ અદ્યતન કાર્યોનો સમાવેશ થાય છે. પલ્સાઉડિયો પર, ફ્લેટપેક બાજુ પર સ્થાનાંતરિત અને વિશેષાધિકારો ફરીથી સેટ થયા પછી ચલાવવામાં આવે છે. બીજી તરફ, ફાયરજેલ એક્ઝિક્યુટેબલ ફાઇલમાં તમામ સંબંધિત કાર્યોને જોડે છે, જે યોગ્ય સ્તરે ઓડિટ અને સુરક્ષા જાળવવાનું મુશ્કેલ બનાવે છે.

નવા પ્રકાશનમાં:

• મેસન એસેમ્બલી સિસ્ટમ માટે ઉમેરાયેલ સપોર્ટ. Autotools સાથે બિલ્ડીંગ માટે આધાર હાલ માટે જાળવી રાખવામાં આવ્યો છે, પરંતુ ભવિષ્યના પ્રકાશનમાં દૂર કરવામાં આવશે.
• એક કરતાં વધુ સેકકોમ્પ પ્રોગ્રામ ઉમેરવા માટે "--add-seccomp" વિકલ્પ અમલમાં મૂક્યો. ચેતવણી ઉમેર્યું કે જો તમે ફરીથી "--seccomp" વિકલ્પનો ઉલ્લેખ કરશો, તો માત્ર છેલ્લું પરિમાણ લાગુ થશે.
• ગિટ રિપોઝીટરીમાં મુખ્ય શાખાનું નામ બદલીને મુખ્ય રાખવામાં આવ્યું છે.
• REUSE સ્પષ્ટીકરણ માટે આંશિક સમર્થન ઉમેર્યું, જે લાયસન્સ અને કૉપિરાઇટ માહિતીનો ઉલ્લેખ કરવાની પ્રક્રિયાને એકીકૃત કરે છે. ઘણી કોડ ફાઇલોમાં SPDX-લાઇસન્સ-આઇડેન્ટિફાયર હેડરો ઉમેરવામાં આવે છે. REUSE માર્ગદર્શિકાને અનુસરવાથી એપ્લીકેશન કોડના કયા ભાગો પર કયું લાઇસન્સ લાગુ પડે છે તે આપમેળે નિર્ધારિત કરવાનું સરળ બને છે.
• કમાન્ડ લાઇન આર્ગ્યુમેન્ટ કાઉન્ટર (argc) ની કિંમત તપાસવાનું ઉમેર્યું અને જો કાઉન્ટર શૂન્ય હોય તો કટોકટી બહાર નીકળો. આ ફેરફાર પોલકીટમાં CVE-2021-4034 જેવા પાસ કરેલ કમાન્ડ લાઇન દલીલોના ખોટા હેન્ડલિંગને કારણે સુરક્ષા સમસ્યાઓને અવરોધિત કરવામાં મદદ કરે છે.

સોર્સ: opennet.ru