{"id":107033,"date":"2023-03-02T06:48:15","date_gmt":"2023-03-02T04:48:15","guid":{"rendered":"https:\/\/prohoster.info\/?p=107033"},"modified":"2023-03-03T15:16:36","modified_gmt":"2023-03-03T13:16:36","slug":"vypusk-bubblewrap-0-8-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/vypusk-bubblewrap-0-8-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","title":{"rendered":"Uscita di Bubblewrap 0.8, un layer per la creazione di ambienti isolati","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\u00c8 disponibile il rilascio del toolkit per l'organizzazione del lavoro in ambienti isolati Bubblewrap 0.8, generalmente utilizzato per limitare applicazioni specifiche degli utenti non privilegiati. Nella pratica, Bubblewrap \u00e8 utilizzato dal progetto Flatpak come strato per isolare le applicazioni avviate dai pacchetti. Il codice del progetto \u00e8 scritto in linguaggio C e distribuito con licenza LGPLv2+. <\/p>\n

Per l'isolamento vengono utilizzate tecnologie di virtualizzazione dei contenitori tradizionali di Linux, basate sull'uso di cgroups, spazi dei nomi, Seccomp e SELinux. Per eseguire operazioni privilegiate di configurazione del contenitore, Bubblewrap viene avviato con i diritti di root (file eseguibile con flag suid) e successivamente i privilegi vengono revocati al termine dell'inizializzazione del contenitore. <\/p>\n

L'attivazione del sistema di spazi dei nomi degli identificatori utente (user namespaces), che consente di utilizzare un set separato di identificatori nei contenitori, non \u00e8 necessaria, poich\u00e9 per impostazione predefinita non funziona in molte distribuzioni (Bubblewrap \u00e8 presentato come un'implementazione suid limitata di un sottogruppo delle funzionalit\u00e0 degli spazi dei nomi utente \u2014 per escludere tutti gli identificatori di utenti e processi dall'ambiente, tranne quello attuale, vengono utilizzati i modi CLONE_NEWUSER e CLONE_NEWPID). Per una protezione aggiuntiva, i programmi eseguiti sotto Bubblewrap vengono avviati in modalit\u00e0 PR_SET_NO_NEW_PRIVS, che vieta l'acquisizione di nuovi privilegi, ad esempio in presenza del flag setuid. <\/p>\n

L'isolamento a livello di file system avviene tramite la creazione di default di un nuovo spazio dei nomi per i punti di montaggio (mount namespace), nel quale viene creato, utilizzando tmpfs, un partizionamento radice vuoto. In questo partizionamento, se necessario, vengono montate partizioni di file system esterne in modalit\u00e0 «mount —bind» (ad esempio, al lancio con l'opzione «bwrap —ro-bind \/usr \/usr», la partizione \/usr \u00e8 passata dal sistema principale in modalit\u00e0 di sola lettura). Le capacit\u00e0 di rete sono limitate all'accesso all'interfaccia loopback con isolamento dello stack di rete tramite i flag CLONE_NEWNET e CLONE_NEWUTS. <\/p>\n

La principale differenza rispetto al progetto simile Firejail, che utilizza anche un modello di avvio con setuid, \u00e8 che in Bubblewrap lo strato per la creazione dei contenitori include solo il minimo necessario di funzionalit\u00e0, mentre tutte le funzioni avanzate, necessarie per l'avvio delle applicazioni grafiche, l'interazione con il desktop e il filtraggio delle chiamate a Pulseaudio, sono spostate su Flatpak e vengono eseguite gi\u00e0 dopo il ripristino dei privilegi. Firejail, invece, unisce in un unico file eseguibile tutte le funzioni ausiliarie, rendendo pi\u00f9 difficile il suo audit e mantenimento della sicurezza a un livello adeguato. <\/p>\n

Nel nuovo rilascio: <\/p>\n