Издавање на Bubblewrap 0.6, слој за создавање изолирани средини

Достапно е издание на алатки за организирање на работата на изолирани средини Bubblewrap 0.6, обично се користи за ограничување на индивидуалните апликации на непривилегирани корисници. Во пракса, Bubblewrap се користи од проектот Flatpak како слој за да се изолираат апликациите лансирани од пакетите. Кодот на проектот е напишан во C и се дистрибуира под лиценцата LGPLv2+.

За изолација, се користат традиционални технологии за виртуелизација на контејнери на Linux, базирани на употреба на cgroups, именски простори, Seccomp и SELinux. За извршување на привилегирани операции за конфигурирање на контејнер, Bubblewrap се стартува со права на root (извршна датотека со знаменце suid) и потоа ги ресетира привилегиите откако контејнерот ќе се иницијализира.

Активирањето на кориснички именски простори во системот за именски простор, што ви овозможува да користите сопствено множество на идентификатори во контејнери, не е потребно за работа, бидејќи не работи стандардно во многу дистрибуции (Bubblewrap е позициониран како ограничена сопствена имплементација на подмножество на можности за кориснички простори за имиња - за да се исклучат сите кориснички и идентификатори на процеси од околината, освен тековниот, се користат режимите CLONE_NEWUSER и CLONE_NEWPID). За дополнителна заштита, програмите што се извршуваат под Bubblewrap се стартуваат во режимот PR_SET_NO_NEW_PRIVS, кој забранува стекнување нови привилегии, на пример, ако е присутно знамето setuid.

Изолацијата на ниво на датотечниот систем се постигнува со создавање нов именски простор за монтирање по дифолт, во кој се креира празна root партиција користејќи tmpfs. Доколку е потребно, надворешните FS партиции се прикачени на оваа партиција во режимот „mount —bind“ (на пример, кога се стартува со опцијата „bwrap —ro-bind /usr /usr“, партицијата /usr се препраќа од главниот систем во режим само за читање). Мрежните можности се ограничени на пристап до интерфејсот за враќање на јамката со изолација на мрежниот стек преку знаменцата CLONE_NEWNET и CLONE_NEWUTS.

Клучната разлика од сличниот проект Firejail, кој исто така го користи моделот за лансирање setuid, е тоа што во Bubblewrap слојот за создавање контејнер ги вклучува само потребните минимални можности и сите напредни функции неопходни за извршување графички апликации, интеракција со работната површина и барањата за филтрирање на Pulseaudio, префрлен на страната Flatpak и извршен откако ќе се ресетираат привилегиите. Firejail, од друга страна, ги комбинира сите поврзани функции во една извршна датотека, што го отежнува ревизијата и одржувањето на безбедноста на соодветно ниво.

Во новото издание:

• Додадена е поддршка за системот за склопување Meson. Поддршката за градење со Autotools засега е задржана, но ќе биде отстранета во идното издание.
• Имплементирана опција „--add-seccomp“ за додавање повеќе од една seccomp програма. Додадено е предупредување дека ако повторно ја наведете опцијата „--seccomp“, ќе се примени само последниот параметар.
• Главна гранка во складиштето git е преименувана во main.
• Додадена е делумна поддршка за спецификацијата REUSE, која го обединува процесот на одредување информации за лиценцата и авторските права. Многу датотеки со код имаат додадени заглавија на SPDX-License-Identifier. Следењето на упатствата REUSE го олеснува автоматското одредување која лиценца се однесува на кои делови од кодот на апликацијата.
• Додадено е проверка на вредноста на бројачот на аргументот на командната линија (argc) и спроведен излез за итен случај ако бројачот е нула. Промената помага да се блокираат безбедносните проблеми предизвикани од неправилно ракување со усвоените аргументи на командната линија, како што е CVE-2021-4034 во Polkit.

Извор: opennet.ru