બબલવ્રેપ 0.6નું પ્રકાશન, અલગ વાતાવરણ બનાવવા માટેનું સ્તર

બબલવ્રેપ 0.6 અલગ-અલગ વાતાવરણના કાર્યને ગોઠવવા માટેના સાધનોનું પ્રકાશન ઉપલબ્ધ છે, જેનો ઉપયોગ સામાન્ય રીતે બિન-વિશિષ્ટ વપરાશકર્તાઓની વ્યક્તિગત એપ્લિકેશનોને પ્રતિબંધિત કરવા માટે થાય છે. વ્યવહારમાં, ફ્લેટપેક પ્રોજેક્ટ દ્વારા પેકેજોમાંથી લોન્ચ કરાયેલી એપ્લિકેશનોને અલગ કરવા માટે એક સ્તર તરીકે બબલરેપનો ઉપયોગ કરવામાં આવે છે. પ્રોજેક્ટ કોડ C માં લખાયેલ છે અને LGPLv2+ લાયસન્સ હેઠળ વિતરિત કરવામાં આવે છે.

ઇન્સ્યુલેશન માટે પરંપરાગત સામગ્રીનો ઉપયોગ થાય છે Linux cgroups, namespaces, Seccomp અને SE ના ઉપયોગ પર આધારિત કન્ટેનર વર્ચ્યુઅલાઈઝેશન ટેકનોલોજીઓLinuxવિશેષાધિકૃત કન્ટેનર રૂપરેખાંકન કામગીરી કરવા માટે, બબલવ્રેપ રૂટ વિશેષાધિકારો સાથે ચાલે છે (એક્ઝિક્યુટેબલ ફાઇલમાં suid ફ્લેગ સક્ષમ હોય છે) અને પછી કન્ટેનર પ્રારંભ પૂર્ણ થયા પછી વિશેષાધિકારો છોડી દે છે.

નેમસ્પેસ સિસ્ટમમાં યુઝર નેમસ્પેસનું સક્રિયકરણ, જે તમને કન્ટેનરમાં તમારા પોતાના ઓળખકર્તાઓના અલગ સેટનો ઉપયોગ કરવાની મંજૂરી આપે છે, તે ઓપરેશન માટે જરૂરી નથી, કારણ કે તે ઘણા વિતરણોમાં ડિફોલ્ટ રૂપે કામ કરતું નથી (બબલવ્રેપ મર્યાદિત સુઇડ અમલીકરણ તરીકે સ્થિત છે. વપરાશકર્તા નેમસ્પેસ ક્ષમતાઓનો સબસેટ - તમામ વપરાશકર્તા અને પ્રક્રિયા ઓળખકર્તાઓને પર્યાવરણમાંથી બાકાત રાખવા માટે, વર્તમાન સિવાય, CLONE_NEWUSER અને CLONE_NEWPID મોડ્સનો ઉપયોગ થાય છે). વધારાના રક્ષણ માટે, બબલવ્રેપ હેઠળ અમલમાં મુકાયેલા પ્રોગ્રામ્સ PR_SET_NO_NEW_PRIVS મોડમાં શરૂ કરવામાં આવે છે, જે નવા વિશેષાધિકારોના સંપાદન પર પ્રતિબંધ મૂકે છે, ઉદાહરણ તરીકે, જો સેટ્યુડ ફ્લેગ હાજર હોય.

ફાઇલ સિસ્ટમ સ્તર પર આઇસોલેશન એ મૂળભૂત રીતે નવી માઉન્ટ નેમસ્પેસ બનાવીને પરિપૂર્ણ થાય છે, જેમાં tmpfs ની મદદથી ખાલી રૂટ પાર્ટીશન બનાવવામાં આવે છે. જો જરૂરી હોય તો, બાહ્ય FS પાર્ટીશનો આ પાર્ટીશન સાથે “mount —bind” મોડમાં જોડાયેલા હોય છે (ઉદાહરણ તરીકે, જ્યારે “bwrap —ro-bind /usr/usr” વિકલ્પ સાથે લોન્ચ કરવામાં આવે છે, ત્યારે /usr પાર્ટીશનને મુખ્ય સિસ્ટમમાંથી ફોરવર્ડ કરવામાં આવે છે. ફક્ત-વાંચવા મોડમાં). નેટવર્ક ક્ષમતાઓ CLONE_NEWNET અને CLONE_NEWUTS ફ્લેગ્સ દ્વારા નેટવર્ક સ્ટેક આઇસોલેશન સાથે લૂપબેક ઇન્ટરફેસની ઍક્સેસ સુધી મર્યાદિત છે.

સમાન ફાયરજેલ પ્રોજેક્ટનો મુખ્ય તફાવત, જે સેટ્યુડ લોન્ચ મોડલનો પણ ઉપયોગ કરે છે, તે એ છે કે બબલવ્રેપમાં કન્ટેનર બનાવવાના સ્તરમાં માત્ર જરૂરી ન્યૂનતમ ક્ષમતાઓ અને ગ્રાફિકલ એપ્લિકેશન ચલાવવા, ડેસ્કટોપ સાથે ક્રિયાપ્રતિક્રિયા કરવા અને વિનંતીઓ ફિલ્ટર કરવા માટે જરૂરી તમામ અદ્યતન કાર્યોનો સમાવેશ થાય છે. પલ્સાઉડિયો પર, ફ્લેટપેક બાજુ પર સ્થાનાંતરિત અને વિશેષાધિકારો ફરીથી સેટ થયા પછી ચલાવવામાં આવે છે. બીજી તરફ, ફાયરજેલ એક્ઝિક્યુટેબલ ફાઇલમાં તમામ સંબંધિત કાર્યોને જોડે છે, જે યોગ્ય સ્તરે ઓડિટ અને સુરક્ષા જાળવવાનું મુશ્કેલ બનાવે છે.

નવા પ્રકાશનમાં:

• મેસોન બિલ્ડ સિસ્ટમ માટે સપોર્ટ ઉમેર્યો. ઓટોટૂલ્સ સાથે બિલ્ડ કરવા માટે સપોર્ટ હજુ પણ ઉપલબ્ધ છે, પરંતુ ભવિષ્યના પ્રકાશનમાં તેને દૂર કરવામાં આવશે.
• "--add-seccomp" વિકલ્પ એક કરતાં વધુ seccomp પ્રોગ્રામ ઉમેરવા માટે લાગુ કરવામાં આવ્યો છે. એક ચેતવણી ઉમેરવામાં આવી છે કે જો તમે "--seccomp" વિકલ્પ એક કરતા વધુ વાર સ્પષ્ટ કરશો, તો ફક્ત છેલ્લો પરિમાણ લાગુ કરવામાં આવશે.
• ગિટ રિપોઝીટરીમાં માસ્ટર બ્રાન્ચનું નામ બદલીને main કરવામાં આવ્યું છે.
• REUSE સ્પષ્ટીકરણ માટે આંશિક સમર્થન ઉમેરવામાં આવ્યું છે, જે લાઇસન્સ અને કૉપિરાઇટ માહિતીને સ્પષ્ટ કરવાની પ્રક્રિયાને એકીકૃત કરે છે. ઘણી કોડ ફાઇલોમાં SPDX-લાઇસન્સ-આઇડેન્ટિફાયર હેડર્સ ઉમેરવામાં આવ્યા છે. REUSE ભલામણોને અનુસરવાથી એપ્લિકેશન કોડના કયા ભાગો પર કયું લાઇસન્સ લાગુ પડે છે તે આપમેળે નક્કી કરવાનું સરળ બને છે.
• કમાન્ડ લાઇન આર્ગ્યુમેન્ટ કાઉન્ટર (argc) માટે ચેક ઉમેર્યો અને જો કાઉન્ટર શૂન્ય હોય તો ઇમરજન્સી એક્ઝિટ લાગુ કર્યો. આ ફેરફાર પોલ્કિટમાં CVE-2021-4034 જેવા પાસ થયેલા કમાન્ડ લાઇન આર્ગ્યુમેન્ટ્સના ખોટા હેન્ડલિંગને કારણે થતી સુરક્ષા સમસ્યાઓને અટકાવે છે.

સોર્સ: opennet.ru