Bubblewrap 0.12-ის გამოშვება, ფენა იზოლირებული გარემოს შესაქმნელად

გამოქვეყნდა Bubblewrap 0.12-ის ახალი ვერსია, რომელიც იზოლირებული გარემოს ორგანიზების ინსტრუმენტია. ის გამოიყენება ინდივიდუალური აპლიკაციების არაპრივილეგირებული მომხმარებლებისთვის შეზღუდვისთვის. პრაქტიკაში, Bubblewrap გამოიყენება Flatpak პროექტის მიერ, როგორც ფენა პაკეტებიდან გაშვებული აპლიკაციების იზოლირებისთვის. ამ მიზნით გამოიყენება იზოლირების ტრადიციული მეთოდები. Linux კონტეინერის ვირტუალიზაციის ტექნოლოგიები, რომლებიც დაფუძნებულია cgroups-ის, სახელთა სივრცეების, Seccomp-ისა და SE-ს გამოყენებაზე.Linuxპროექტის კოდი დაწერილია C ენაზე და გავრცელებულია LGPLv2.1+ ლიცენზიით.

ფაილური სისტემის დონეზე იზოლაცია მიიღწევა ნაგულისხმევად ახალი სამონტაჟო სახელების სივრცის შექმნით, რომელშიც იქმნება ცარიელი root დანაყოფი tmpfs-ის გამოყენებით. საჭიროების შემთხვევაში, გარე FS ტიხრები მიმაგრებულია ამ დანაყოფზე „mount —bind“ რეჟიმში (მაგალითად, „bwrap —ro-bind /usr /usr“ ოფციით გაშვებისას, /usr დანაყოფი გადაგზავნილია ძირითადი სისტემიდან. მხოლოდ წაკითხვის რეჟიმში). ქსელის შესაძლებლობები შემოიფარგლება მარყუჟის ინტერფეისზე წვდომით ქსელის სტეკის იზოლაციით CLONE_NEWNET და CLONE_NEWUTS დროშებით.

შექმნილი იზოლირებული გარემოდან ყველა არასაჭირო მომხმარებლისა და პროცესის ID-ის გამოსარიცხად, შესაძლებელია CLONE_NEWUSER (მომხმარებლის სახელთა სივრცე) და CLONE_NEWPID (PID სახელთა სივრცე) რეჟიმების გამოყენება, ხოლო PR_SET_NO_NEW_PRIVS რეჟიმი გამოიყენება ახალი პრივილეგიების შეძენის თავიდან ასაცილებლად. „მომხმარებლის სახელთა სივრცე“ გამოიყენება საჭირო პრივილეგიების მისაღებად.

ახალ გამოცემაში:

• კოდის ლიცენზია შეიცვალა LGPL 2.0+-დან LGPL 2.1+-ზე.
• შეწყვეტილია ისეთი შესრულებადი ფაილის სახით შექმნის მხარდაჭერა, რომელიც suid root დროშის გამოყენებით დამატებით პრივილეგიებს მოიპოვებს. „მომხმარებლის სახელთა სივრცის“ მხარდაჭერა ახლა სავალდებულოა. მიზეზად მოყვანილია suid დროშის შენარჩუნების სირთულე, დისტრიბუციებში „მომხმარებლის სახელთა სივრცის“ ფართოდ გავრცელებული მხარდაჭერის გათვალისწინებით.
• დაემატა „--not-a-security-boundary“ ოფცია, რათა თავიდან იქნას აცილებული გარკვეული შეცდომების თავიდან აცილება იზოლირებული sandbox გარემოს დაყენებისას, როგორიცაა ქვეგასაღების ხელახლა მონტაჟი, რამაც შეიძლება გამოიწვიოს ავარია.
• დაემატა აწყობის ოფცია „assume_kernel“ ბირთვებთან უკუთავსებადობის გამოსართავად. Linux, მითითებულ ვერსიაზე ძველი. მაგალითად, 5.6.0+ ვერსიის მითითება გამორიცხავს „openat2(RESOLVE_IN_ROOT)“ ფუნქციონალის ალტერნატიულ იმპლემენტაციას.

წყარო: opennet.ru