Издавање на Bubblewrap 0.8, слој за создавање изолирани средини

Достапно е издание на алатки за организирање на работата на изолирани средини Bubblewrap 0.8, обично се користи за ограничување на индивидуалните апликации на непривилегирани корисници. Во пракса, Bubblewrap се користи од проектот Flatpak како слој за да се изолираат апликациите лансирани од пакетите. Кодот на проектот е напишан во C и се дистрибуира под лиценцата LGPLv2+.

За изолација, се користат традиционални технологии за виртуелизација на контејнери на Linux, базирани на употреба на cgroups, именски простори, Seccomp и SELinux. За извршување на привилегирани операции за конфигурирање на контејнер, Bubblewrap се стартува со права на root (извршна датотека со знаменце suid) и потоа ги ресетира привилегиите откако контејнерот ќе се иницијализира.

Активирањето на кориснички именски простори во системот за именски простор, што ви овозможува да користите сопствено множество на идентификатори во контејнери, не е потребно за работа, бидејќи не работи стандардно во многу дистрибуции (Bubblewrap е позициониран како ограничена сопствена имплементација на подмножество на можности за кориснички простори за имиња - за да се исклучат сите кориснички и идентификатори на процеси од околината, освен тековниот, се користат режимите CLONE_NEWUSER и CLONE_NEWPID). За дополнителна заштита, програмите што се извршуваат под Bubblewrap се стартуваат во режимот PR_SET_NO_NEW_PRIVS, кој забранува стекнување нови привилегии, на пример, ако е присутно знамето setuid.

Изолацијата на ниво на датотечниот систем се постигнува со создавање нов именски простор за монтирање по дифолт, во кој се креира празна root партиција користејќи tmpfs. Доколку е потребно, надворешните FS партиции се прикачени на оваа партиција во режимот „mount —bind“ (на пример, кога се стартува со опцијата „bwrap —ro-bind /usr /usr“, партицијата /usr се препраќа од главниот систем во режим само за читање). Мрежните можности се ограничени на пристап до интерфејсот за враќање на јамката со изолација на мрежниот стек преку знаменцата CLONE_NEWNET и CLONE_NEWUTS.

Клучната разлика од сличниот проект Firejail, кој исто така го користи моделот за лансирање setuid, е тоа што во Bubblewrap слојот за создавање контејнер ги вклучува само потребните минимални можности и сите напредни функции неопходни за извршување графички апликации, интеракција со работната површина и барањата за филтрирање на Pulseaudio, префрлен на страната Flatpak и извршен откако ќе се ресетираат привилегиите. Firejail, од друга страна, ги комбинира сите поврзани функции во една извршна датотека, што го отежнува ревизијата и одржувањето на безбедноста на соодветно ниво.

Во новото издание:

• Додадена е опцијата „--disable-userns“ за да се оневозможи создавањето на сопствен вгнезден кориснички именски простор во околината со песок.
• Додадена е опцијата „--assert-userns-disabled“ за да се провери дали се користи постоечки кориснички ID простор кога се користи опцијата „--disable-userns“.
• Информативната содржина на пораките за грешки поврзани со оневозможување на поставките CONFIG_SECCOMP и CONFIG_SECCOMP_FILTER во јадрото е зголемена.

Извор: opennet.ru