બબલવ્રેપ 0.8નું પ્રકાશન, અલગ વાતાવરણ બનાવવા માટેનું સ્તર

બબલવ્રેપ 0.8 અલગ-અલગ વાતાવરણના કાર્યને ગોઠવવા માટેના સાધનોનું પ્રકાશન ઉપલબ્ધ છે, જેનો ઉપયોગ સામાન્ય રીતે બિન-વિશિષ્ટ વપરાશકર્તાઓની વ્યક્તિગત એપ્લિકેશનોને પ્રતિબંધિત કરવા માટે થાય છે. વ્યવહારમાં, ફ્લેટપેક પ્રોજેક્ટ દ્વારા પેકેજોમાંથી લોન્ચ કરાયેલી એપ્લિકેશનોને અલગ કરવા માટે એક સ્તર તરીકે બબલરેપનો ઉપયોગ કરવામાં આવે છે. પ્રોજેક્ટ કોડ C માં લખાયેલ છે અને LGPLv2+ લાયસન્સ હેઠળ વિતરિત કરવામાં આવે છે.

અલગતા માટે, પરંપરાગત Linux કન્ટેનર વર્ચ્યુઅલાઈઝેશન તકનીકોનો ઉપયોગ કરવામાં આવે છે, જે cgroups, નેમસ્પેસ, Seccomp અને SELinux ના ઉપયોગ પર આધારિત છે. કન્ટેનરને રૂપરેખાંકિત કરવા માટે વિશેષાધિકૃત કામગીરી કરવા માટે, બબલવ્રેપને રૂટ અધિકારો (સ્યુડ ફ્લેગ સાથે એક્ઝિક્યુટેબલ ફાઇલ) સાથે લોન્ચ કરવામાં આવે છે અને પછી કન્ટેનર શરૂ થયા પછી વિશેષાધિકારો ફરીથી સેટ કરે છે.

નેમસ્પેસ સિસ્ટમમાં યુઝર નેમસ્પેસનું સક્રિયકરણ, જે તમને કન્ટેનરમાં તમારા પોતાના ઓળખકર્તાઓના અલગ સેટનો ઉપયોગ કરવાની મંજૂરી આપે છે, તે ઓપરેશન માટે જરૂરી નથી, કારણ કે તે ઘણા વિતરણોમાં ડિફોલ્ટ રૂપે કામ કરતું નથી (બબલવ્રેપ મર્યાદિત સુઇડ અમલીકરણ તરીકે સ્થિત છે. વપરાશકર્તા નેમસ્પેસ ક્ષમતાઓનો સબસેટ - તમામ વપરાશકર્તા અને પ્રક્રિયા ઓળખકર્તાઓને પર્યાવરણમાંથી બાકાત રાખવા માટે, વર્તમાન સિવાય, CLONE_NEWUSER અને CLONE_NEWPID મોડ્સનો ઉપયોગ થાય છે). વધારાના રક્ષણ માટે, બબલવ્રેપ હેઠળ અમલમાં મુકાયેલા પ્રોગ્રામ્સ PR_SET_NO_NEW_PRIVS મોડમાં શરૂ કરવામાં આવે છે, જે નવા વિશેષાધિકારોના સંપાદન પર પ્રતિબંધ મૂકે છે, ઉદાહરણ તરીકે, જો સેટ્યુડ ફ્લેગ હાજર હોય.

ફાઇલ સિસ્ટમ સ્તર પર આઇસોલેશન એ મૂળભૂત રીતે નવી માઉન્ટ નેમસ્પેસ બનાવીને પરિપૂર્ણ થાય છે, જેમાં tmpfs ની મદદથી ખાલી રૂટ પાર્ટીશન બનાવવામાં આવે છે. જો જરૂરી હોય તો, બાહ્ય FS પાર્ટીશનો આ પાર્ટીશન સાથે “mount —bind” મોડમાં જોડાયેલા હોય છે (ઉદાહરણ તરીકે, જ્યારે “bwrap —ro-bind /usr/usr” વિકલ્પ સાથે લોન્ચ કરવામાં આવે છે, ત્યારે /usr પાર્ટીશનને મુખ્ય સિસ્ટમમાંથી ફોરવર્ડ કરવામાં આવે છે. ફક્ત-વાંચવા મોડમાં). નેટવર્ક ક્ષમતાઓ CLONE_NEWNET અને CLONE_NEWUTS ફ્લેગ્સ દ્વારા નેટવર્ક સ્ટેક આઇસોલેશન સાથે લૂપબેક ઇન્ટરફેસની ઍક્સેસ સુધી મર્યાદિત છે.

સમાન ફાયરજેલ પ્રોજેક્ટનો મુખ્ય તફાવત, જે સેટ્યુડ લોન્ચ મોડલનો પણ ઉપયોગ કરે છે, તે એ છે કે બબલવ્રેપમાં કન્ટેનર બનાવવાના સ્તરમાં માત્ર જરૂરી ન્યૂનતમ ક્ષમતાઓ અને ગ્રાફિકલ એપ્લિકેશન ચલાવવા, ડેસ્કટોપ સાથે ક્રિયાપ્રતિક્રિયા કરવા અને વિનંતીઓ ફિલ્ટર કરવા માટે જરૂરી તમામ અદ્યતન કાર્યોનો સમાવેશ થાય છે. પલ્સાઉડિયો પર, ફ્લેટપેક બાજુ પર સ્થાનાંતરિત અને વિશેષાધિકારો ફરીથી સેટ થયા પછી ચલાવવામાં આવે છે. બીજી તરફ, ફાયરજેલ એક્ઝિક્યુટેબલ ફાઇલમાં તમામ સંબંધિત કાર્યોને જોડે છે, જે યોગ્ય સ્તરે ઓડિટ અને સુરક્ષા જાળવવાનું મુશ્કેલ બનાવે છે.

નવા પ્રકાશનમાં:

• Добавлена опция «—disable-userns» отключающая создание в sandbox-окружении своего вложенного пространства идентификаторов пользователей (user namespace).
• Добавлена опция «—assert-userns-disabled» для проверки, что при использовании опции » —disable-userns» задействовано существующее пространство идентификаторов пользователей.
• Повышена информативность сообщений об ошибках, связанных с отключением в ядре настроек CONFIG_SECCOMP и CONFIG_SECCOMP_FILTER.

સોર્સ: opennet.ru