ααΆαα ααααααΆαα§ααααααααααΆαααααα αααΆαααΆαααααα·ααααΆαααΆα ααααααΆα Bubblewrap 0.8 α’αΆα ααααΎααΆα αααααΆααααααΆααααΌαααΆαααααΎααααΆααααΎααααΈααΆααααααα·ααααααα·ααΈαα»ααααααααα’αααααααΎααααΆαααααααααΆααα·αααα·α αα αααα»αααΆαα’αα»αααα Bubblewrap ααααΌαααΆαααααΎααααααααα Flatpak ααΆαααααΆαααα½αααΎααααΈααααααααα·ααΈαααααΆαα αΆααααααΎαα ααααΈαααα ααα ααΌαααααααααααΌαααΆααααααααΆ C α αΎαααααΌαααΆαα ααα αΆααααααα’αΆααααΆααααα LGPLv2+ α
αααααΆααααΆαα―αα αα αα αααα·ααααΆαα·αααα·ααα»αααΊαααααΈαα»α αααααααΈααααΌαααΆαααααΎ αααααα’ααααΎααΆαααααΎααααΆαα cgroups, namespaces, Seccomp αα·α SELinux α ααΎααααΈα’αα»ααααααααα·ααααα·ααΆααααααΆααα·αααα·ααΎααααΈααααααα ααΆαααααααααα»αααΊααα Bubblewrap ααααΌαααΆαααΎαααααΎαααΆααααααΆααα·αααα·ααΆ root (α―αααΆααααα’αΆα ααααα·ααααα·ααΆαααΆαα½αααΉαααα suid) α αΎααααααΆααααααααααα·αααα·α‘αΎααα·ααααααΆααααΈαα»αααΊαααααααΌαααΆαα αΆααααααΎαα
ααΆαααααΎα±ααααααααα namespaces α’αααααααΎααααΆαααα αααα»ααααααααα namespace αααα’αα»ααααΆαα±ααα’αααααααΎαααα»αααΆα ααααα‘ααααααΆαααααα½αααααα’αααααααΆααααααα’ααααααααΆααα αααα»ααα»αααΊααα αα·αααααΌαααΆαααΆαααΆααααααΆααααααα·ααααα·ααΆααααααααααΆαα·αααααΎαααΆαααΆαααααΆαααΎααααα»αααΆαα ααα αΆαααΆα αααΎα (Bubblewrap ααααΌαααΆαααΆααααΆααΆαα’αα»αααα suid ααΆαααααααα a αααα»ααααααααααααΆααααααα’αααααααΎααααΆαα - ααΎααααΈαα·αααΆαααααα αΌαα’αααααααΎααααΆαα αα·αααααΎαααΆααααααα’ααααααααΆαααΆααα’ααααΈααα·ααααΆα ααΎαααααααα»αααΆααα αα α»αααααα CLONE_NEWUSER αα·α CLONE_NEWPID ααααααααΌαααΆαααααΎ)α αααααΆααααΆαααΆαααΆααααααα αααααα·ααΈαααααααΌαααΆαααααα·ααααα·ααααα Bubblewrap ααααΌαααΆαααΎαααααΎαααΆααα αααα»ααααα PR_SET_NO_NEW_PRIVS αααα αΆαααΆααααΆαααα½αααΆααα·αααα·ααααΈ α§ααΆα ααα ααααα·αααΎααα setuid ααΆαααααααΆαα
ααΆαα―αααα ααααα·αααααααααα―αααΆαααααΌαααΆααααααα ααααααααΎα mount namespace ααααΈααΆαααααΆαααΎα ααααααα»ααααααΆαααΆα root αααααααΌαααΆααααααΎααααααααΎ tmpfs α ααΎα αΆαααΆα α ααΆαααΆα FS ααΆααααα ααααΌαααΆαααααΆαααα ααΆαααΆαααααα αααα»ααααα "αααα -bind" (α§ααΆα ααα αα αααααΎαααααΎαααΆαααΆαα½ααααααΎα "bwrap βro-bind /usr /usr" ααΆαααΆα /usr ααααΌαααΆααααααΌαααααααΈααααααααααα αα αααα»αααααααΆαααα’αΆα)α αααααααΆααααααΆαααααΌαααΆααααααα ααααααΆαα αΌαααααΎα ααα»α αααααΆααααααα·ααα»αααΆαα½αααΉαααΆαα―ααααααααααΆαααΆααααααα CLONE_NEWNET αα·α CLONE_NEWUTS α
ααΆααα»αααααΆααααΆααααΈαααααα Firejail ααααααααααΆαααααααΎααααΌα αΆααααααΎα setuid ααΊααΆαα αααα»α Bubblewrap αααααΆαααααααΎααα»αααΊααααα½ααααα αΌααααααααααΆαα’αααααααΆα αΆαααΆα α αα·ααα»αααΆαααααα·ααααααααΆααα’αααααα αΆαααΆα ααααααΆααααααΎαααΆααααααα·ααΈααααΆα ααα·α α’ααααααααααΆαα½ααααααα» αα·αααααΎαααααα αα Pulseaudio ααααααα ααΆα Flatpak α αΎαααααΌαααΆαααααα·ααααα·αααααΆααααΈα―ααα·αααα·ααααΌαααΆααααααα‘αΎααα·αα αααααΆααα·αααα Firejail αα½ααααα αΌαααααΆααΌααα»αααΆαααΆαααααααααΆααα’αααα αααα»αα―αααΆααααα’αΆα ααααα·ααααα·ααΆααα½α αααααααΎα±ααααΆαα·ααΆααααα»αααΆαααααΎααααααα αα·ααααααΆαα»ααααα·ααΆααα ααααα·αααααΉαααααΌαα
αα αααα»αααΆαα ααααααΆαααααΈ:
- ααΆααααααααααααΎα "--disable-users" ααΎααααΈαα·αααΆααααααΎαααααααααΆαααααααα’αααααααΎααααΆααααααΆαααααα½αααααααΆαα αααα»αααα·ααΆααΆααααα’ααααααΆα αα
- ααΆααααααααααααΎα "--assert-userns-disabled" ααΎααααΈαα·αα·αααααΎαααΆα αααααααααααααΆααα’αααααααΎααααΆαααααααΆαααααΆααααααΌαααΆαααααΎαα αααααααΎαααααΎα "--disable-users" α
- ααΆαα·ααΆααααααΆαααααΆαααα α»ααααααΆααααααΉαααΆααα·αααΆαααααα CONFIG_SECCOMP αα·α CONFIG_SECCOMP_FILTER αα αααα»αααΊαααααααΌαααΆααααααΎαα
ααααα: opennet.ru