{"id":107033,"date":"2023-03-02T06:48:15","date_gmt":"2023-03-02T04:48:15","guid":{"rendered":"https:\/\/prohoster.info\/?p=107033"},"modified":"2023-03-03T15:16:36","modified_gmt":"2023-03-03T13:16:36","slug":"vypusk-bubblewrap-0-8-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/vypusk-bubblewrap-0-8-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","title":{"rendered":"Rilascio di Bubblewrap 0.8, un layer per la creazione di ambienti isolati","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\u00c8 disponibile il rilascio degli strumenti per l'organizzazione del lavoro in ambienti isolati Bubblewrap 0.8, comunemente utilizzato per limitare singole applicazioni di utenti non privilegiati. Nella pratica, Bubblewrap \u00e8 utilizzato dal progetto Flatpak come strato per isolare le applicazioni avviate dai pacchetti. Il codice del progetto \u00e8 scritto in C ed \u00e8 distribuito sotto la licenza LGPLv2+. <\/p>\n

Per l'isolamento vengono utilizzate le tecnologie tradizionali per la virtualizzazione dei contenitori su Linux, basate sull'uso di cgroups, spazi dei nomi (namespaces), Seccomp e SELinux. Per eseguire operazioni privilegiate nella configurazione del contenitore, Bubblewrap viene avviato con diritti di root (file eseguibile con flag suid) per poi ripristinare i privilegi dopo la conclusione dell'inizializzazione del contenitore. <\/p>\n

L'attivazione del sistema di spazi dei nomi degli identificatori utente (user namespaces), che consente di utilizzare un proprio insieme separato di identificatori nei container, non \u00e8 necessaria, poich\u00e9 per impostazione predefinita non funziona in molte distribuzioni (Bubblewrap \u00e8 presentato come un'implementazione suid limitata di un sottoinsieme delle funzionalit\u00e0 dei user namespaces \u2014 per escludere tutti gli identificatori degli utenti e dei processi dall'ambiente, tranne quello corrente, vengono utilizzati i modi CLONE_NEWUSER e CLONE_NEWPID). Per protezione aggiuntiva, i programmi eseguiti sotto Bubblewrap vengono avviati in modalit\u00e0 PR_SET_NO_NEW_PRIVS, che vieta l'acquisizione di nuovi privilegi, ad esempio, in presenza del flag setuid. <\/p>\n

L'isolamento a livello di file system avviene tramite la creazione di un nuovo spazio dei nomi dei punti di montaggio (mount namespace) per impostazione predefinita, in cui viene creato un root vuoto utilizzando tmpfs. A questa partizione vengono montate, se necessario, partizioni esterne nel modo 'mount \u2014bind' (ad esempio, all'avvio con l'opzione 'bwrap \u2014ro-bind \/usr \/usr' la partizione \/usr viene passata dal sistema principale in modalit\u00e0 di sola lettura). Le capacit\u00e0 di rete sono limitate all'accesso all'interfaccia di loopback con isolamento dello stack di rete tramite i flag CLONE_NEWNET e CLONE_NEWUTS. <\/p>\n

La principale differenza rispetto a progetti simili come Firejail, che utilizza anch'esso un modello di avvio con setuid, \u00e8 che in Bubblewrap il livello per la creazione dei container include solo il minimo necessario di capacit\u00e0, mentre tutte le funzioni avanzate necessarie per l'avvio di applicazioni grafiche, l'interazione con il desktop e il filtraggio delle richieste a Pulseaudio sono gestite da Flatpak e vengono eseguite dopo il ripristino dei privilegi. Firejail, invece, combina tutte le funzioni ausiliarie in un unico file eseguibile, rendendo pi\u00f9 complesso il suo audit e il mantenimento della sicurezza a un livello adeguato. <\/p>\n

Nel nuovo rilascio: <\/p>\n