Megjelent a Bubblewrap 0.11-es verziója, amely az elszigetelt környezetek munkájának megszervezésére szolgáló eszközkészlet, és amely a nem privilegizált felhasználók egyes alkalmazásainak korlátozására használatos. A gyakorlatban a Bubblewrap a Flatpak projekt által alkalmazott réteg a csomagolt alkalmazások indításának elszigetelésére. Az elszigeteléshez a Linux hagyományos konténer virtualizációs technológiáit alkalmazzák, amelyek a cgroups, névterek (namespaces), Seccomp és SELinux használatán alapulnak. A projekt kódja C nyelven íródott és LGPLv2+ licenc alatt terjesztik.
A fájlrendszer szintű elszigetelés alapértelmezés szerint új névtér létrehozásával történik a mount namespace révén, ahol a tmpfs segítségével üres gyökér partíció jön létre. Ehhez a partícióhoz szükség esetén a külső fájlrendszerek partícióit a 'mount —bind' módban csatlakoztatják (például a 'bwrap —ro-bind /usr /usr' opcióval a /usr partíció a fő rendszerből csak olvasható módban kapcsolódik át). A hálózati lehetőségeket a loopback interfész elérésének korlátozásával és a hálózati verem elszigetelésével korlátozzák, a CLONE_NEWNET és CLONE_NEWUTS flag-ek alkalmazásával.
A létrehozott elszigetelt környezetből minden felesleges felhasználói és folyamat-azonosító kizárásához a CLONE_NEWUSER (felhasználói névtér) és a CLONE_NEWPID (PID névtér) módok használhatók, míg az új privilégiumok megszerzésének megakadályozására a PR_SET_NO_NEW_PRIVS mód alkalmazandó. A Bubblewrap a „felhasználói névtérrel” rendelkező rendszereken a normál felhasználóként futtatható, míg a „felhasználói névtér nélküli” rendszereken suid root zászlóval is használható az elszigetelt környezet szükséges inicializálásához.
Az új kiadásban:
- Lehetőség nyílt csatolási pontok létrehozására, ahol egyrétegű fájlrendszer, az OverlayFS használatával több rész egyesített más fájlrendszerekből. Az OverlayFS használatának kezelésére új parancssori opciók érhetők el: „—overlay”, „—tmp-overlay”, „—ro-overlay” és „—overlay-src”.
- Hozzáadva az „—level-prefix” opció, amely a syslog stílusú prioritásszint behelyettesítését teszi lehetővé a diagnosztikai kimenetbe, így feldolgozására olyan segédprogramok használhatók, mint a „logger” és a „systemd-cat”.
- Megszűnt az Autotools build rendszer támogatása. Az építéshez mostantól a Meson eszközkészlet szükséges.
Forrás: opennet.ru
