Bubblewrap 0.8-ის გამოშვება, ფენა იზოლირებული გარემოს შესაქმნელად

ხელმისაწვდომია ინსტრუმენტების გამოშვება იზოლირებულ გარემოში მუშაობის ორგანიზებისთვის Bubblewrap 0.8, რომელიც ჩვეულებრივ გამოიყენება არაპრივილეგირებული მომხმარებლების ინდივიდუალური აპლიკაციების შესაზღუდად. პრაქტიკაში, Bubblewrap გამოიყენება Flatpak პროექტის მიერ, როგორც ფენა პაკეტებიდან გაშვებული აპლიკაციების იზოლირებისთვის. პროექტის კოდი დაწერილია C-ში და ნაწილდება LGPLv2+ ლიცენზიით.

იზოლირებისთვის გამოიყენება Linux კონტეინერის ვირტუალიზაციის ტრადიციული ტექნოლოგიები, რომლებიც დაფუძნებულია cgroups, namespaces, Seccomp და SELinux-ის გამოყენებაზე. კონტეინერის კონფიგურაციისთვის პრივილეგირებული ოპერაციების შესასრულებლად, Bubblewrap იხსნება root უფლებებით (შესრულებადი ფაილი suid დროშით) და შემდეგ აღადგენს პრივილეგიებს კონტეინერის ინიციალიზაციის შემდეგ.

მომხმარებლის სახელთა სივრცის გააქტიურება სახელთა სივრცის სისტემაში, რომელიც საშუალებას გაძლევთ გამოიყენოთ საკუთარი ცალკეული იდენტიფიკატორების ნაკრები კონტეინერებში, არ არის საჭირო ოპერაციისთვის, რადგან ის არ მუშაობს ნაგულისხმევად ბევრ დისტრიბუციაში (Bubblewrap პოზიციონირებულია როგორც შეზღუდული suid განხორციელება. მომხმარებლის სახელთა სივრცის შესაძლებლობების ქვეჯგუფი - მომხმარებლის და პროცესის ყველა იდენტიფიკატორის გარემოდან გამოსარიცხად, გარდა ამჟამინდელისა, გამოიყენება CLONE_NEWUSER და CLONE_NEWPID რეჟიმები). დამატებითი დაცვისთვის, Bubblewrap-ის ქვეშ შესრულებული პროგრამები გაშვებულია PR_SET_NO_NEW_PRIVS რეჟიმში, რაც კრძალავს ახალი პრივილეგიების მიღებას, მაგალითად, თუ არსებობს setuid flag.

ფაილური სისტემის დონეზე იზოლაცია მიიღწევა ნაგულისხმევად ახალი სამონტაჟო სახელების სივრცის შექმნით, რომელშიც იქმნება ცარიელი root დანაყოფი tmpfs-ის გამოყენებით. საჭიროების შემთხვევაში, გარე FS ტიხრები მიმაგრებულია ამ დანაყოფზე „mount —bind“ რეჟიმში (მაგალითად, „bwrap —ro-bind /usr /usr“ ოფციით გაშვებისას, /usr დანაყოფი გადაგზავნილია ძირითადი სისტემიდან. მხოლოდ წაკითხვის რეჟიმში). ქსელის შესაძლებლობები შემოიფარგლება მარყუჟის ინტერფეისზე წვდომით ქსელის სტეკის იზოლაციით CLONE_NEWNET და CLONE_NEWUTS დროშებით.

მსგავსი Firejail პროექტისგან მთავარი განსხვავება, რომელიც ასევე იყენებს setuid გაშვების მოდელს, არის ის, რომ Bubblewrap-ში კონტეინერის შექმნის ფენა მოიცავს მხოლოდ აუცილებელ მინიმალურ შესაძლებლობებს და ყველა მოწინავე ფუნქციას, რომელიც აუცილებელია გრაფიკული აპლიკაციების გასაშვებად, დესკტოპთან ინტერაქციისა და ფილტრაციის მოთხოვნებისთვის. Pulseaudio-ზე, გადაეცა Flatpak მხარეს და შესრულებულია პრივილეგიების გადატვირთვის შემდეგ. მეორე მხრივ, Firejail აერთიანებს ყველა დაკავშირებულ ფუნქციას ერთ შესრულებად ფაილში, რაც ართულებს აუდიტს და უსაფრთხოების სათანადო დონეზე შენარჩუნებას.

ახალ გამოცემაში:

• დაემატა "--disable-users" ოფცია, რათა გამორთოთ საკუთარი ჩადგმული მომხმარებლის სახელების სივრცის შექმნა sandbox გარემოში.
• დამატებულია "--assert-userns-disabled" ოფცია, რათა შეამოწმოს, რომ არსებული მომხმარებლის ID სივრცე გამოიყენება "--disable-userns" ოფციის გამოყენებისას.
• ბირთვში CONFIG_SECCOMP და CONFIG_SECCOMP_FILTER პარამეტრების გამორთვასთან დაკავშირებული შეცდომის შეტყობინებების საინფორმაციო კონტენტი გაიზარდა.

წყარო: opennet.ru