자급자족 패키지 시스템 Flatpak 1.12.0 출시

Flatpak 1.12 툴킷의 새로운 안정적인 분기가 게시되었습니다. 이 분기는 특정 Linux 배포판에 연결되지 않고 애플리케이션을 시스템의 나머지 부분과 격리하는 특수 컨테이너에서 실행되는 자체 포함 패키지를 구축하기 위한 시스템을 제공합니다. Flatpak 패키지 실행에 대한 지원은 Arch Linux, CentOS, Debian, Fedora, Gentoo, Mageia, Linux Mint, Alt Linux 및 Ubuntu에 제공됩니다. Flatpak 패키지는 Fedora 저장소에 포함되어 있으며 기본 GNOME 응용 프로그램 관리자에서 지원됩니다.

Flatpak 1.12 브랜치의 주요 혁신:

• Steam 게임 제공 서비스용 클라이언트와 함께 flatpak 패키지에 사용되는 중첩된 샌드박스 환경 관리가 개선되었습니다. 중첩된 샌드박스에서는 /usr 및 /app 디렉토리의 별도 계층 생성이 허용됩니다. 이는 Steam에서 Steam 클라이언트가 있는 환경과 격리된 자체 /usr 파티션이 있는 별도의 컨테이너에서 게임을 시작하는 데 사용됩니다.
• 동일한 애플리케이션 식별자(app-ID)를 가진 모든 패키지 인스턴스는 /tmp 및 $XDG_RUNTIME_DIR 디렉터리를 공유합니다. 선택적으로 "--allow=per-app-dev-shm" 플래그를 사용하여 /dev/shm 공유 디렉터리 사용을 활성화할 수 있습니다.
• gdb와 같은 TUI(텍스트 사용자 인터페이스) 애플리케이션에 대한 지원이 향상되었습니다.
• "ostree prune" 명령의 더 빠른 구현이 build-update-repo 유틸리티에 추가되어 아카이브 모드에서 리포지토리 작업에 최적화되었습니다.
• seccomp 규칙의 파티션 마운트와 관련된 새로운 시스템 호출의 차단 부족과 관련된 포털 메커니즘 구현의 취약점 CVE-2021-41133이 수정되었습니다. 이 취약점으로 인해 애플리케이션은 컨테이너 외부의 리소스에 대한 액세스를 구성하는 데 사용되는 "포털" 확인 메커니즘을 우회하기 위해 중첩된 샌드박스를 생성할 수 있었습니다.

  결과적으로 공격자는 마운트 관련 시스템 호출을 수행하여 샌드박스 격리 메커니즘을 우회하고 호스트 환경의 콘텐츠에 대한 전체 액세스 권한을 얻을 수 있습니다. 이 취약점은 Wayland, Pipewire 및 Pipewire-pulse에서 사용되는 AF_UNIX 소켓에 직접 액세스할 수 있는 애플리케이션을 제공하는 패키지에서만 악용될 수 있습니다. 릴리스 1.12.0에서는 취약점이 완전히 제거되지 않았으므로 업데이트 1.12.1이 곧바로 릴리스되었습니다.

Flatpak을 사용하면 애플리케이션 개발자가 각 배포에 대해 별도의 어셈블리를 만들지 않고도 하나의 범용 컨테이너를 준비하여 표준 배포 저장소에 포함되지 않은 프로그램의 배포를 단순화할 수 있다는 점을 상기시켜 드리겠습니다. 보안에 민감한 사용자의 경우 Flatpak을 사용하면 컨테이너에서 의심스러운 응용 프로그램을 실행하여 응용 프로그램과 관련된 네트워크 기능 및 사용자 파일에만 액세스할 수 있습니다. 신제품에 관심이 있는 사용자를 위해 Flatpak을 사용하면 시스템을 변경할 필요 없이 최신 테스트 및 안정적인 애플리케이션 릴리스를 설치할 수 있습니다. 예를 들어 Flatpak 패키지는 LibreOffice, Midori, GIMP, Inkscape, Kdenlive, Steam, 0 AD, Visual Studio Code, VLC, Slack, Skype, Telegram Desktop, Android Studio 등을 위해 제작되었습니다.

패키지 크기를 줄이기 위해 애플리케이션 별 종속성만 포함하고 기본 시스템 및 그래픽 라이브러리(GTK, Qt, GNOME 및 KDE 라이브러리 등)는 플러그인 표준 런타임 환경으로 설계되었습니다. Flatpak과 Snap의 주요 차이점은 Snap은 기본 시스템 환경의 구성 요소를 사용하고 시스템 호출 필터링을 기반으로 격리하는 반면 Flatpak은 시스템과 별도로 컨테이너를 생성하고 대규모 런타임 세트로 작동하여 패키지를 종속성으로 제공하지 않고 표준으로 제공한다는 것입니다. 시스템 환경(예: GNOME 또는 KDE 프로그램 작동에 필요한 모든 라이브러리)

특별한 저장소를 통해 설치되는 표준 시스템 환경(런타임) 외에, 애플리케이션 운영에 필요한 추가 종속성(번들)이 제공됩니다. 런타임이 별도로 설치되고 한 번에 여러 컨테이너에 연결되어 컨테이너에 공통된 시스템 파일이 중복되는 것을 방지할 수 있음에도 불구하고 전체적으로 런타임과 번들은 컨테이너 채우기를 형성합니다. 하나의 시스템에는 여러 다른 런타임(GNOME, KDE)이 설치되거나 동일한 런타임의 여러 버전(GNOME 3.40, GNOME 3.42)이 설치될 수 있습니다. 애플리케이션을 종속성으로 포함하는 컨테이너는 런타임을 구성하는 개별 패키지를 고려하지 않고 특정 런타임에만 바인딩을 사용합니다. 누락된 모든 요소는 애플리케이션과 함께 직접 패키지됩니다. 컨테이너가 형성되면 런타임 콘텐츠는 /usr 파티션으로 마운트되고 번들은 /app 디렉터리에 마운트됩니다.

런타임 및 애플리케이션 컨테이너는 Git과 같은 저장소에서 이미지가 원자적으로 업데이트되는 OSTree 기술을 사용하여 구축됩니다. 이를 통해 배포 구성 요소에 버전 제어 방법을 적용할 수 있습니다. 이전 상태). RPM 패키지는 특수 rpm-ostree 계층을 사용하여 OSTree 저장소로 변환됩니다. 작업 환경 내에서 패키지를 별도로 설치하고 업데이트하는 것은 지원되지 않으며, 시스템은 개별 구성 요소 수준에서 업데이트되는 것이 아니라 전체적으로 상태를 원자적으로 변경하여 업데이트됩니다. 업데이트를 점진적으로 적용하는 도구를 제공하므로 업데이트할 때마다 이미지를 완전히 교체할 필요가 없습니다.

생성된 격리된 환경은 사용된 배포와 완전히 독립적이며 패키지의 적절한 설정을 통해 사용자 또는 메인 시스템의 파일 및 프로세스에 액세스할 수 없으며 DRI를 통한 출력을 제외하고 장비에 직접 액세스할 수 없습니다. 네트워크 하위 시스템을 호출합니다. 그래픽 출력 및 입력 구성은 Wayland 프로토콜을 사용하거나 X11 소켓 전달을 통해 구현됩니다. 외부 환경과의 상호 작용은 DBus 메시징 시스템과 특수 포털 API를 기반으로 합니다.

격리를 위해 cgroup, 네임스페이스, Seccomp 및 SELinux 사용을 기반으로 Bubblewrap 계층과 기존 Linux 컨테이너 가상화 기술이 사용됩니다. PulseAudio는 사운드를 출력하는 데 사용됩니다. 이 경우 많은 인기 패키지 개발자가 파일 시스템과 시스템의 모든 장치에 대한 전체 액세스 권한을 얻기 위해 사용하는 격리를 비활성화할 수 있습니다. 예를 들어 GIMP, VSCodium, PyCharm, Octave, Inkscape, Audacity 및 VLC에는 홈 디렉터리에 대한 전체 액세스 권한을 유지하는 제한된 격리 모드가 제공됩니다.

홈 디렉터리에 대한 액세스 권한이 있는 패키지가 손상된 경우 패키지 설명에 "샌드박스 처리된" 레이블이 있음에도 불구하고 공격자는 코드를 실행하려면 ~/.bashrc 파일만 변경하면 됩니다. 별도의 문제는 패키지 변경 사항을 제어하고 종종 기본 프로젝트나 배포판과 관련되지 않은 패키지 빌더에 대한 신뢰입니다.

출처 : opennet.ru