Famoahana ny Bubblewrap 0.4.0, sosona hamoronana tontolo mitoka-monina

Available новый выпуск инструментария Fonosana bubble 0.4.0, предназначенного для организации работы изолированных окружений в Linux и функционирующий на уровне приложений непривилегированных пользователей. На практике Bubblewrap используется проектом Flatpak в качестве прослойки для изоляции запускаемых из пакетов приложений. Код проекта написан на языке Си и nozarain'i под лицензией LGPLv2+.

Ho an'ny fitokanana dia ampiasaina ny teknolojia virtoaly container Linux nentim-paharazana, mifototra amin'ny fampiasana cgroups, namespaces, Seccomp ary SELinux. Mba hanaovana asa manan-danja amin'ny fanamboarana kaontenera, ny Bubblewrap dia atomboka miaraka amin'ny zon'ny faka (rakitra azo tanterahana miaraka amin'ny sainam-pirenena) ary avy eo dia mamerina ny tombontsoa aorian'ny fanombohana ny container.

Активация в системе пространств имён идентификаторов пользователя (user namespaces), позволяющих использовать в контейнерах собственный отдельный набор идентификаторов, для работы не требуется, так как по умолчанию не работает во многих дистрибутивах (Bubblewrap позиционируется как ограниченная suid-реализация подмножества возможностей user namespaces — для исключения всех идентификаторов пользователей и процессов из окружения, кроме текущего, используются режимы CLONE_NEWUSER и CLONE_NEWPID). Для дополнительной защиты исполняемые под управлением
Bubblewrap программы запускаются в режиме PR_SET_NO_NEW_PRIVS, запрещающем получение новых привилегий, например, при наличии флага setuid.

Ny fitokana-monina amin'ny haavon'ny rafi-drakitra dia vita amin'ny alàlan'ny famoronana espace mount vaovao amin'ny alàlan'ny default, izay misy fizarazarana fotony tsy misy dikany amin'ny fampiasana tmpfs. Raha ilaina dia ampifandraisina amin'ity fizarazarana ity ny fizarazarana FS ivelany amin'ny fomba "mount -bind" (ohatra, rehefa natomboka tamin'ny safidy "bwrap -ro-bind /usr /usr", ny fizarazarana /usr dia alefa avy amin'ny rafitra lehibe. amin'ny fomba vakiana fotsiny). Ny fahafahan'ny tambajotra dia voafetra ihany amin'ny fidirana amin'ny interface loopback miaraka amin'ny fitokanana amin'ny tambajotra amin'ny alàlan'ny saina CLONE_NEWNET sy CLONE_NEWUTS.

Ny fahasamihafana lehibe amin'ny tetikasa mitovy tranomaizina, который также использует модель запуска с применением setuid, является то, что в Bubblewrap прослойка для создания контейнеров включает только необходимый минимум возможностей, а все расширенные функции, необходимые для запуска графических приложений, взаимодействия с рабочим столом и фильтрации обращений к Pulseaudio, вынесены на сторону Flatpak и выполняются уже после сброса привилегий. Firejail же объединяет в одном исполняемом файле все сопутствующие функции, что усложняет его аудит и поддержание безопасности на должном уровне.

Новый выпуск примечателен реализацией поддержки присоединения существующих пространств имён идентификаторов пользователей (user namespaces) и процессов (pid namespaces). Для управления подключением пространств имён добавлены флаги «—userns», «—userns2» и «—pidns».
Данная возможность не работает в режиме setuid и требует применения отдельного режима, который может работать без получения прав root, но требует активации
user namespaces в системе (по умолчанию отключены в Debian и RHEL/CentOS) и не исключает возможность fitrandrahana потенциально остающихся fahalementsika для обода ограничений «user namespaces». Из новых возможностей Bubblewrap 0.4 также отмечается возможность сборки с Си-библиотекой musl вместо glibc и поддержка сохранения информации о пространствах имён в файл со статистикой в формате JSON.

Source: opennet.ru