El\u00e9rhet\u0151 a Bubblewrap 0.5.0 izol\u00e1lt k\u00f6rnyezetek m\u0171k\u00f6d\u00e9s\u00e9nek szervez\u00e9s\u00e9hez sz\u00fcks\u00e9ges eszk\u00f6zk\u00e9szlet, amelyet \u00e1ltal\u00e1ban nem privil\u00e9giz\u00e1lt felhaszn\u00e1l\u00f3k egyes alkalmaz\u00e1sainak korl\u00e1toz\u00e1s\u00e1ra haszn\u00e1lnak. A gyakorlatban a Bubblewrap a Flatpak projekt \u00e1ltal alkalmazott r\u00e9teg az alkalmaz\u00e1sok csomagjaib\u00f3l t\u00f6rt\u00e9n\u0151 elind\u00edt\u00e1s izol\u00e1l\u00e1s\u00e1ra. A projekt k\u00f3dja C nyelven \u00edr\u00f3dott \u00e9s LGPLv2+ licenc alatt terjesztik. <\/p>\n
Az elszigetel\u00e9shez a Linuxban megszokott kont\u00e9neres virtualiz\u00e1ci\u00f3s technol\u00f3gi\u00e1kat haszn\u00e1lj\u00e1k, amelyek cgroups, n\u00e9vterek (namespaces), Seccomp \u00e9s SELinux alkalmaz\u00e1s\u00e1n alapulnak. A kont\u00e9ner be\u00e1ll\u00edt\u00e1s\u00e1hoz sz\u00fcks\u00e9ges privilegiz\u00e1lt m\u0171veletek v\u00e9grehajt\u00e1s\u00e1hoz a Bubblewrap root jogokkal (suid flag-gel rendelkez\u0151 futtathat\u00f3 f\u00e1jl) indul, majd a kont\u00e9ner inicializ\u00e1l\u00e1sa ut\u00e1n a privil\u00e9giumokat vissza\u00e1ll\u00edtja. <\/p>\n
A felhaszn\u00e1l\u00f3i n\u00e9vazonos\u00edt\u00f3k (user namespaces) aktiv\u00e1l\u00e1sa nem sz\u00fcks\u00e9ges, mivel alap\u00e9rtelmez\u00e9s szerint sok disztrib\u00faci\u00f3ban nem m\u0171k\u00f6dik. A Bubblewrap korl\u00e1tozott suid implement\u00e1ci\u00f3k\u00e9nt hirdeti a felhaszn\u00e1l\u00f3i n\u00e9vazonos\u00edt\u00f3k k\u00e9pess\u00e9geinek egy r\u00e9szhalmaz\u00e1t \u2014 a felhaszn\u00e1l\u00f3i \u00e9s folyamat-azonos\u00edt\u00f3k k\u00f6rnyezetb\u0151l val\u00f3 kiz\u00e1r\u00e1s\u00e1hoz a CLONE_NEWUSER \u00e9s CLONE_NEWPID \u00fczemm\u00f3dokat haszn\u00e1lja. Tov\u00e1bbi v\u00e9delem \u00e9rdek\u00e9ben a Bubblewrap \u00e1ltal kezelt programok PR_SET_NO_NEW_PRIVS m\u00f3dban futnak, amely megakad\u00e1lyozza az \u00faj privil\u00e9giumok megszerz\u00e9s\u00e9t, p\u00e9ld\u00e1ul setuid jelz\u0151 jelenl\u00e9t\u00e9ben. <\/p>\n
A f\u00e1jlrendszer szint\u0171 izol\u00e1l\u00e1s alap\u00e9rtelmez\u00e9s szerint \u00faj mont\u00e1zs n\u00e9vt\u00e9r (mount namespace) l\u00e9trehoz\u00e1s\u00e1val t\u00f6rt\u00e9nik, amelyben a tmpfs seg\u00edts\u00e9g\u00e9vel \u00fcres gy\u00f6k\u00e9rpart\u00edci\u00f3 j\u00f6n l\u00e9tre. Ezen a part\u00edci\u00f3n sz\u00fcks\u00e9g eset\u00e9n k\u00fcls\u0151 f\u00e1jlrendszerek part\u00edci\u00f3i csatlakoztathat\u00f3k a 'mount \u2014bind' m\u00f3ddal (p\u00e9ld\u00e1ul a 'bwrap \u2014ro-bind \/usr \/usr' opci\u00f3 bekapcsol\u00e1sakor a \/usr part\u00edci\u00f3 az alap\u00e9rtelmezett rendszerb\u0151l csak olvas\u00e1si m\u00f3dba ker\u00fcl). A h\u00e1l\u00f3zati lehet\u0151s\u00e9gek a loopback interf\u00e9sz el\u00e9r\u00e9s\u00e9re korl\u00e1toz\u00f3dnak a h\u00e1l\u00f3zati verem izol\u00e1l\u00e1s\u00e1val a CLONE_NEWNET \u00e9s CLONE_NEWUTS z\u00e1szl\u00f3k seg\u00edts\u00e9g\u00e9vel. <\/p>\n
A f\u0151 k\u00fcl\u00f6nbs\u00e9g a hasonl\u00f3 Firejail projektt\u0151l, amely szint\u00e9n setuid alkalmaz\u00e1sind\u00edt\u00e1si modellt haszn\u00e1l, hogy a Bubblewrap kont\u00e9nerek l\u00e9trehoz\u00e1s\u00e1nak r\u00e9tege csak a sz\u00fcks\u00e9ges minim\u00e1lis funkci\u00f3kat tartalmazza, m\u00edg a grafikus alkalmaz\u00e1sok ind\u00edt\u00e1s\u00e1hoz, a munkaasztallal val\u00f3 interakci\u00f3hoz \u00e9s a Pulseaudio h\u00edv\u00e1sok sz\u0171r\u00e9s\u00e9hez sz\u00fcks\u00e9ges \u00f6sszes kib\u0151v\u00edtett funkci\u00f3t a Flatpak oldal\u00e1ra helyezik, \u00e9s m\u00e1r a privil\u00e9giumok vissza\u00e1ll\u00edt\u00e1sa ut\u00e1n hajtj\u00e1k v\u00e9gre. A Firejail viszont egyetlen v\u00e9grehajthat\u00f3 f\u00e1jlban egyes\u00edti az \u00f6sszes kapcsol\u00f3d\u00f3 funkci\u00f3t, ami megnehez\u00edti az audit\u00e1l\u00e1s\u00e1t \u00e9s a biztons\u00e1g szinten tart\u00e1s\u00e1t. <\/p>\n
Az \u00faj kiad\u00e1s lehet\u0151s\u00e9geket k\u00edn\u00e1l: '--chmod' a hozz\u00e1f\u00e9r\u00e9si jogok m\u00f3dos\u00edt\u00e1s\u00e1ra, '--clearenv' a k\u00f6rnyezeti v\u00e1ltoz\u00f3k (a PWD kiv\u00e9tel\u00e9vel) t\u00f6rl\u00e9s\u00e9re, \u00e9s '--perms' a '--bind-data', '--dir', '--file', '--ro-bind-data' \u00e9s '--tmpfs' m\u0171veletek sor\u00e1n alkalmazand\u00f3 hozz\u00e1f\u00e9r\u00e9si jogok meghat\u00e1roz\u00e1s\u00e1ra. Jav\u00edtva lett a hib\u00e1k diagnosztiz\u00e1l\u00e1sa a bind m\u00f3d\u00fa csatol\u00e1sok meghib\u00e1sod\u00e1sa eset\u00e9n. Zsh-hoz hozz\u00e1adva lett a parancsok automatikus kieg\u00e9sz\u00edt\u00e9se tabul\u00e1tor billenty\u0171 le\u00fct\u00e9s\u00e9vel. \n Forr\u00e1s: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"