Издавање на Bubblewrap 0.4.0, слој за создавање изолирани средини

Достапно ново издание на комплетот алатки Меурче 0.4.0, дизајниран да ја организира работата на изолирани средини во Linux и да работи на ниво на апликација на непривилегирани корисници. Во пракса, Bubblewrap се користи од проектот Flatpak како слој за да се изолираат апликациите лансирани од пакетите. Кодот на проектот е напишан во C и дистрибуирани од лиценцирана под LGPLv2+.

За изолација, се користат традиционални технологии за виртуелизација на контејнери на Linux, базирани на употреба на cgroups, именски простори, Seccomp и SELinux. За извршување на привилегирани операции за конфигурирање на контејнер, Bubblewrap се стартува со права на root (извршна датотека со знаменце suid) и потоа ги ресетира привилегиите откако контејнерот ќе се иницијализира.

Активирањето на кориснички именски простори во системот за именски простор, што ви овозможува да користите сопствено множество на идентификатори во контејнери, не е потребно за работа, бидејќи не работи стандардно во многу дистрибуции (Bubblewrap е позициониран како ограничена сопствена имплементација на подмножество на можности за кориснички простори за имиња - за да се исклучат сите кориснички и идентификатори на процеси од околината, освен тековниот, се користат режимите CLONE_NEWUSER и CLONE_NEWPID). За дополнителна заштита, извршна под контрола
Програмите Bubblewrap се стартуваат во режимот PR_SET_NO_NEW_PRIVS, кој забранува добивање нови привилегии, на пример, ако е присутно знамето setuid.

Изолацијата на ниво на датотечниот систем се постигнува со создавање нов именски простор за монтирање по дифолт, во кој се креира празна root партиција користејќи tmpfs. Доколку е потребно, надворешните FS партиции се прикачени на оваа партиција во режимот „mount —bind“ (на пример, кога се стартува со опцијата „bwrap —ro-bind /usr /usr“, партицијата /usr се препраќа од главниот систем во режим само за читање). Мрежните можности се ограничени на пристап до интерфејсот за враќање на јамката со изолација на мрежниот стек преку знаменцата CLONE_NEWNET и CLONE_NEWUTS.

Клучна разлика од сличен проект огнен затвор, кој исто така го користи моделот за лансирање setuid, е тоа што во Bubblewrap слојот за создавање контејнер ги вклучува само потребните минимални можности, а сите напредни функции неопходни за извршување графички апликации, интеракција со работната површина и филтрирање повици до Pulseaudio се аутсорсирани Flatpak и се извршуваат откако ќе се ресетираат привилегиите. Firejail, од друга страна, ги комбинира сите поврзани функции во една извршна датотека, што го отежнува ревизијата и одржувањето на безбедноста на на соодветно ниво.

Новото издание е забележливо по имплементацијата на поддршка за приклучување на постоечки кориснички простори со имиња и процесирање на именски простори на pid. За контрола на поврзувањето на именските простори, додадени се знаменцата „--userns“, „--userns2“ и „-pidns“.
Оваа функција не работи во setuid режим и бара употреба на посебен режим, кој може да работи без да се добијат права на root, но бара активирање
кориснички места со имиња на системот (стандардно оневозможено на Debian и RHEL/CentOS) и не ја исклучува можноста експлоатација потенцијално преостанати ранливости за ограничувањата на „кориснички простори со имиња“. Новите функции на Bubblewrap 0.4, исто така, вклучуваат можност за градење со библиотека musl C наместо glibc и поддршка за зачувување информации за именскиот простор во датотека со статистика во JSON формат.

Извор: opennet.ru