Bubblewrap 0.12 출시, 샌드박스 환경 생성을 위한 레이어

격리된 환경을 구성하는 도구인 Bubblewrap의 새 버전 0.12이 출시되었습니다. Bubblewrap은 권한이 없는 사용자의 개별 애플리케이션 접근을 제한하는 데 사용됩니다. 실제로 Flatpak 프로젝트에서는 패키지에서 실행되는 애플리케이션을 격리하는 계층으로 Bubblewrap을 사용합니다. 이러한 목적을 위해 기존의 격리 방법들이 활용되고 있습니다. Linux cgroups, 네임스페이스, Seccomp 및 SE를 활용한 컨테이너 가상화 기술Linux이 프로젝트 코드는 C 언어로 작성되었으며 LGPLv2.1+ 라이선스에 따라 배포됩니다.

파일 시스템 수준의 격리는 기본적으로 tmpfs를 사용하여 빈 루트 파티션이 생성되는 새로운 마운트 네임스페이스를 생성하여 수행됩니다. 필요한 경우 외부 FS 파티션이 "mount —bind" 모드에서 이 파티션에 연결됩니다. 예를 들어 "bwrap —ro-bind /usr /usr" 옵션으로 시작하면 /usr 파티션이 기본 시스템에서 전달됩니다. 읽기 전용 모드에서). 네트워크 기능은 CLONE_NEWNET 및 CLONE_NEWUTS 플래그를 통한 네트워크 스택 격리를 사용하는 루프백 인터페이스에 대한 액세스로 제한됩니다.

생성된 격리 환경에서 불필요한 사용자 및 프로세스 ID를 모두 제외하려면 CLONE_NEWUSER(사용자 네임스페이스) 및 CLONE_NEWPID(PID 네임스페이스) 모드를 사용할 수 있으며, PR_SET_NO_NEW_PRIVS 모드는 새로운 권한 획득을 방지하는 데 사용됩니다. "사용자 네임스페이스"는 필요한 권한을 획득하는 데 사용됩니다.

새 릴리스에서:

• 코드 라이선스가 LGPL 2.0+에서 LGPL 2.1+로 변경되었습니다.
• suid 루트 플래그를 사용하여 추가 권한을 얻는 실행 파일 빌드에 대한 지원이 중단되었습니다. 이제 "사용자 네임스페이스" 지원이 필수입니다. 그 이유는 배포판에서 "사용자 네임스페이스"가 널리 지원됨에 따라 suid 플래그를 유지 관리하는 것이 복잡해졌기 때문입니다.
• "--not-a-security-boundary" 옵션을 추가했습니다. 이 옵션을 설정하면 하위 키 재마운트와 같은 격리된 샌드박스 환경 설정 시 발생하는 특정 오류로 인한 충돌을 방지할 수 있습니다.
• 커널과의 하위 호환성을 비활성화하는 빌드 옵션 "assume_kernel"을 추가했습니다. Linux지정된 버전보다 이전 버전이어야 합니다. 예를 들어, 버전 5.6.0 이상을 지정하면 "openat2(RESOLVE_IN_ROOT)" 기능의 대체 구현이 제외됩니다.

출처 : opennet.ru