Издавање на Bubblewrap 0.6, слој за создавање изолирани средини

Достапно е издание на алатки за организирање на работата на изолирани средини Bubblewrap 0.6, обично се користи за ограничување на индивидуалните апликации на непривилегирани корисници. Во пракса, Bubblewrap се користи од проектот Flatpak како слој за да се изолираат апликациите лансирани од пакетите. Кодот на проектот е напишан во C и се дистрибуира под лиценцата LGPLv2+.

За изолација, се користат традиционални технологии за виртуелизација на контејнери на Linux, базирани на употреба на cgroups, именски простори, Seccomp и SELinux. За извршување на привилегирани операции за конфигурирање на контејнер, Bubblewrap се стартува со права на root (извршна датотека со знаменце suid) и потоа ги ресетира привилегиите откако контејнерот ќе се иницијализира.

Активирањето на кориснички именски простори во системот за именски простор, што ви овозможува да користите сопствено множество на идентификатори во контејнери, не е потребно за работа, бидејќи не работи стандардно во многу дистрибуции (Bubblewrap е позициониран како ограничена сопствена имплементација на подмножество на можности за кориснички простори за имиња - за да се исклучат сите кориснички и идентификатори на процеси од околината, освен тековниот, се користат режимите CLONE_NEWUSER и CLONE_NEWPID). За дополнителна заштита, програмите што се извршуваат под Bubblewrap се стартуваат во режимот PR_SET_NO_NEW_PRIVS, кој забранува стекнување нови привилегии, на пример, ако е присутно знамето setuid.

Изолацијата на ниво на датотечниот систем се постигнува со создавање нов именски простор за монтирање по дифолт, во кој се креира празна root партиција користејќи tmpfs. Доколку е потребно, надворешните FS партиции се прикачени на оваа партиција во режимот „mount —bind“ (на пример, кога се стартува со опцијата „bwrap —ro-bind /usr /usr“, партицијата /usr се препраќа од главниот систем во режим само за читање). Мрежните можности се ограничени на пристап до интерфејсот за враќање на јамката со изолација на мрежниот стек преку знаменцата CLONE_NEWNET и CLONE_NEWUTS.

Клучната разлика од сличниот проект Firejail, кој исто така го користи моделот за лансирање setuid, е тоа што во Bubblewrap слојот за создавање контејнер ги вклучува само потребните минимални можности и сите напредни функции неопходни за извршување графички апликации, интеракција со работната површина и барањата за филтрирање на Pulseaudio, префрлен на страната Flatpak и извршен откако ќе се ресетираат привилегиите. Firejail, од друга страна, ги комбинира сите поврзани функции во една извршна датотека, што го отежнува ревизијата и одржувањето на безбедноста на соодветно ниво.

Во новото издание:

• Добавлена поддержка сборочной системы Meson. Поддержка сборки при помощи Autotools пока сохранена, но будет удалена в одном из следующих выпусков.
• Реализована опция «—add-seccomp» для добавления более чем одной программы seccomp. Добавлено предупреждение о том, что при повторном указании опции «—seccomp» будет применён только последний параметр.
• Ветка master в git-репозитории переименована в main.
• Добавлена частичная поддержка спецификации REUSE, унифицирующей процесс указания сведений о лицензиях и авторских правах. Во многие файлы с кодом добавлены заголовки SPDX-License-Identifier. Следование рекомендациям REUSE позволяет упростить автоматическое определение какая лицензия применяется к каким из частей кода приложения.
• Добавлена проверка значения счётчика аргументов командной строки (argc) и реализован экстренный выход в случае если счётчик равен нулю. Изменение позволяет блокировать проблемы с безопасностью, вызванные некорректной обработкой передаваемых аргументов командной строки, такие как CVE-2021-4034 в Polkit.

Извор: opennet.ru