ການປ່ອຍ Bubblewrap 0.4.0, ຊັ້ນສໍາລັບການສ້າງສະພາບແວດລ້ອມທີ່ໂດດດ່ຽວ

ມີໃຫ້ ການປ່ອຍຊຸດເຄື່ອງມືໃຫມ່ ຟອງນ້ ຳ 0.4.0, ຖືກອອກແບບມາເພື່ອຈັດລະບຽບການເຮັດວຽກຂອງສະພາບແວດລ້ອມທີ່ໂດດດ່ຽວໃນ Linux ແລະປະຕິບັດງານໃນລະດັບຄໍາຮ້ອງສະຫມັກຂອງຜູ້ໃຊ້ທີ່ບໍ່ມີສິດທິພິເສດ. ໃນທາງປະຕິບັດ, Bubblewrap ຖືກນໍາໃຊ້ໂດຍໂຄງການ Flatpak ເປັນຊັ້ນເພື່ອແຍກແອັບພລິເຄຊັນທີ່ເປີດຕົວອອກຈາກແພັກເກັດ. ລະຫັດໂຄງການແມ່ນຂຽນເປັນ C ແລະ ແຈກຢາຍໂດຍ ອະນຸຍາດພາຍໃຕ້ LGPLv2+.

ສໍາລັບການໂດດດ່ຽວ, ເທກໂນໂລຍີ virtualization container Linux ແບບດັ້ງເດີມແມ່ນຖືກນໍາໃຊ້, ອີງໃສ່ການນໍາໃຊ້ cgroups, namespaces, Seccomp ແລະ SELinux. ເພື່ອປະຕິບັດການດໍາເນີນການທີ່ມີສິດທິພິເສດໃນການກໍາຫນົດຄ່າບັນຈຸ, Bubblewrap ຖືກເປີດຕົວດ້ວຍສິດທິຂອງຮາກ (ໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້ດ້ວຍທຸງ suid) ແລະຫຼັງຈາກນັ້ນຕັ້ງສິດທິພິເສດໃຫມ່ຫຼັງຈາກກ່ອງບັນຈຸຖືກເລີ່ມຕົ້ນ.

ການເປີດໃຊ້ namespaces ຜູ້ໃຊ້ໃນລະບົບ namespace, ເຊິ່ງອະນຸຍາດໃຫ້ທ່ານໃຊ້ຕົວລະບຸຕົວກໍານົດການແຍກຕ່າງຫາກຂອງຕົນເອງໃນ containers, ແມ່ນບໍ່ຈໍາເປັນສໍາລັບການດໍາເນີນງານ, ເນື່ອງຈາກວ່າມັນບໍ່ເຮັດວຽກໂດຍຄ່າເລີ່ມຕົ້ນໃນຫຼາຍໆການແຈກຢາຍ (Bubblewrap ຖືກຈັດໃສ່ເປັນການປະຕິບັດທີ່ຈໍາກັດຂອງ a. ຊຸດຍ່ອຍຂອງຄວາມສາມາດຂອງ namespaces ຜູ້ໃຊ້ - ເພື່ອຍົກເວັ້ນຕົວລະບຸຜູ້ໃຊ້ ແລະຂະບວນການທັງໝົດຈາກສະພາບແວດລ້ອມ, ຍົກເວັ້ນອັນປັດຈຸບັນ, ໂໝດ CLONE_NEWUSER ແລະ CLONE_NEWPID ຖືກໃຊ້). ສໍາລັບການປົກປ້ອງເພີ່ມເຕີມ, ສາມາດປະຕິບັດໄດ້ພາຍໃຕ້ການຄວບຄຸມ
ໂປຣແກມ Bubblewrap ຖືກເປີດຕົວໃນໂໝດ PR_SET_NO_NEW_PRIVS, ເຊິ່ງຫ້າມການໄດ້ຮັບສິດທິພິເສດ, ຕົວຢ່າງ, ຖ້າມີທຸງ setuid ຢູ່.

ການໂດດດ່ຽວໃນລະດັບລະບົບໄຟລ໌ແມ່ນສໍາເລັດໂດຍການສ້າງ namespace mount ໃຫມ່ໂດຍຄ່າເລີ່ມຕົ້ນ, ໃນການແບ່ງປັນຮາກທີ່ຫວ່າງເປົ່າແມ່ນຖືກສ້າງຂຶ້ນໂດຍໃຊ້ tmpfs. ຖ້າຈໍາເປັນ, ການແບ່ງປັນ FS ພາຍນອກແມ່ນຕິດກັບພາທິຊັນນີ້ໃນໂຫມດ "mount —bind" (ຕົວຢ່າງ, ເມື່ອເປີດຕົວດ້ວຍຕົວເລືອກ "bwrap —ro-bind / usr / usr", / usr partition ຈະຖືກສົ່ງຕໍ່ຈາກລະບົບຕົ້ນຕໍ. ໃນ​ຮູບ​ແບບ​ການ​ອ່ານ​ເທົ່າ​ນັ້ນ​)​. ຄວາມສາມາດຂອງເຄືອຂ່າຍຖືກຈຳກັດໃຫ້ເຂົ້າເຖິງສ່ວນຕິດຕໍ່ loopback ດ້ວຍການໂດດດ່ຽວເຄືອຂ່າຍຜ່ານທຸງ CLONE_NEWNET ແລະ CLONE_NEWUTS.

ຄວາມແຕກຕ່າງທີ່ ສຳ ຄັນຈາກໂຄງການທີ່ຄ້າຍຄືກັນ ຄຸກໄຟ, ເຊິ່ງຍັງໃຊ້ຮູບແບບການເປີດຕົວ setuid, ແມ່ນວ່າໃນ Bubblewrap ຊັ້ນການສ້າງ container ປະກອບມີພຽງແຕ່ຄວາມສາມາດຕໍາ່ສຸດທີ່ທີ່ຈໍາເປັນ, ແລະຫນ້າທີ່ກ້າວຫນ້າທາງດ້ານທັງຫມົດທີ່ຕ້ອງການສໍາລັບການແລ່ນຄໍາຮ້ອງສະຫມັກກາຟິກ, ການໂຕ້ຕອບກັບ desktop ແລະການກັ່ນຕອງການໂທໄປຫາ Pulseaudio ແມ່ນ outsourced Flatpak ແລະຖືກປະຕິບັດ. ຫຼັງຈາກສິດທິພິເສດໄດ້ຖືກປັບ. ໃນທາງກົງກັນຂ້າມ, Firejail ລວມເອົາຫນ້າທີ່ທີ່ກ່ຽວຂ້ອງທັງຫມົດໃນໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້, ເຊິ່ງເຮັດໃຫ້ມັນມີຄວາມຫຍຸ້ງຍາກໃນການກວດສອບແລະຮັກສາຄວາມປອດໄພ. ຢູ່ໃນລະດັບທີ່ເຫມາະສົມ.

ການປ່ອຍໃຫມ່ແມ່ນຫນ້າສັງເກດສໍາລັບການປະຕິບັດການສະຫນັບສະຫນູນສໍາລັບການເຂົ້າຮ່ວມ namespaces ຜູ້ໃຊ້ທີ່ມີຢູ່ແລ້ວແລະຂະບວນການ namespaces pid. ເພື່ອຄວບຄຸມການເຊື່ອມຕໍ່ຂອງ namespaces, ທຸງ "--users", "--users2" ແລະ "-pidns" ໄດ້ຖືກເພີ່ມ.
ຄຸນສົມບັດນີ້ບໍ່ເຮັດວຽກຢູ່ໃນໂໝດ setuid ແລະຕ້ອງການໃຊ້ໂໝດແຍກທີ່ສາມາດເຮັດວຽກໄດ້ໂດຍບໍ່ໄດ້ຮັບສິດຮາກ, ແຕ່ຕ້ອງການການເປີດໃຊ້ງານ.
namespaces ຜູ້ໃຊ້ຢູ່ໃນລະບົບ (ປິດການໃຊ້ງານໂດຍຄ່າເລີ່ມຕົ້ນໃນ Debian ແລະ RHEL/CentOS) ແລະບໍ່ໄດ້ຍົກເວັ້ນຄວາມເປັນໄປໄດ້ ການຂູດຮີດ ເປັນໄປໄດ້ ຍັງເຫຼືອ ຄວາມອ່ອນແອ ສໍາລັບຂອບຂໍ້ຈໍາກັດ "namespaces ຜູ້ໃຊ້". ຄຸນສົມບັດໃຫມ່ຂອງ Bubblewrap 0.4 ຍັງປະກອບມີຄວາມສາມາດໃນການສ້າງກັບ musl C library ແທນທີ່ຈະເປັນ glibc ແລະສະຫນັບສະຫນູນການປະຫຍັດຂໍ້ມູນ namespace ໃຫ້ກັບໄຟລ໌ທີ່ມີສະຖິຕິໃນຮູບແບບ JSON.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru