സാൻഡ്‌ബോക്‌സ് ചെയ്‌ത പരിതസ്ഥിതികൾ സൃഷ്‌ടിക്കുന്നതിനുള്ള ബബിൾവ്‌റാപ്പ് 0.6, ലെയറുകളുടെ റിലീസ്

ഒറ്റപ്പെട്ട പരിതസ്ഥിതികളുടെ പ്രവർത്തനം സംഘടിപ്പിക്കുന്നതിനുള്ള ടൂളുകളുടെ ഒരു റിലീസ് Bubblewrap 0.6 ലഭ്യമാണ്, സാധാരണയായി പ്രത്യേകാവകാശമില്ലാത്ത ഉപയോക്താക്കളുടെ വ്യക്തിഗത ആപ്ലിക്കേഷനുകൾ നിയന്ത്രിക്കാൻ ഉപയോഗിക്കുന്നു. പ്രായോഗികമായി, Flatpak പ്രോജക്റ്റ് പാക്കേജുകളിൽ നിന്ന് സമാരംഭിക്കുന്ന ആപ്ലിക്കേഷനുകളെ ഒറ്റപ്പെടുത്തുന്നതിനുള്ള ഒരു പാളിയായി Bubblewrap ഉപയോഗിക്കുന്നു. പ്രോജക്റ്റ് കോഡ് C-ൽ എഴുതിയിരിക്കുന്നു, LGPLv2+ ലൈസൻസിന് കീഴിൽ വിതരണം ചെയ്യുന്നു.

ഒറ്റപ്പെടലിനായി, cgroups, namespaces (namespaces), Seccomp, SELinux എന്നിവയുടെ ഉപയോഗത്തെ അടിസ്ഥാനമാക്കി പരമ്പരാഗത ലിനക്സ് കണ്ടെയ്‌നർ വിർച്ച്വലൈസേഷൻ സാങ്കേതികവിദ്യകൾ ഉപയോഗിക്കുന്നു. പ്രിവിലജഡ് കണ്ടെയ്‌നർ സജ്ജീകരണ പ്രവർത്തനങ്ങൾ നടത്താൻ, കണ്ടെയ്‌നർ ആരംഭിച്ചതിന് ശേഷമുള്ള പ്രത്യേകാവകാശങ്ങളുടെ പുനഃസജ്ജീകരണത്തോടൊപ്പം റൂട്ട് (suid ഫ്ലാഗ് ഉള്ള എക്‌സിക്യൂട്ടബിൾ ഫയൽ) ആയി Bubblewrap പ്രവർത്തിക്കുന്നു.

കണ്ടെയ്‌നറുകളിൽ നിങ്ങളുടേതായ പ്രത്യേക ഐഡന്റിഫയറുകൾ ഉപയോഗിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്ന നെയിംസ്‌പേസ് സിസ്റ്റത്തിൽ ഉപയോക്തൃ നെയിംസ്‌പെയ്‌സുകൾ സജീവമാക്കുന്നത് പ്രവർത്തനത്തിന് ആവശ്യമില്ല, കാരണം ഇത് പല വിതരണങ്ങളിലും സ്ഥിരസ്ഥിതിയായി പ്രവർത്തിക്കുന്നില്ല (ബബിൾ റാപ്പ് ഒരു പരിമിതമായ സ്യൂഡ് ഇംപ്ലിമെന്റേഷനായി സ്ഥാപിച്ചിരിക്കുന്നു. ഉപയോക്തൃ നെയിംസ്‌പെയ്‌സ് കഴിവുകളുടെ ഉപസെറ്റ് - നിലവിലുള്ളത് ഒഴികെ എല്ലാ ഉപയോക്തൃ, പ്രോസസ്സ് ഐഡന്റിഫയറുകളും പരിസ്ഥിതിയിൽ നിന്ന് ഒഴിവാക്കുന്നതിന്, CLONE_NEWUSER, CLONE_NEWPID മോഡുകൾ ഉപയോഗിക്കുന്നു). അധിക പരിരക്ഷയ്‌ക്കായി, Bubblewrap-ന് കീഴിൽ എക്‌സിക്യൂട്ട് ചെയ്‌ത പ്രോഗ്രാമുകൾ PR_SET_NO_NEW_PRIVS മോഡിൽ സമാരംഭിക്കുന്നു, ഇത് പുതിയ പ്രത്യേകാവകാശങ്ങൾ നേടുന്നത് തടയുന്നു, ഉദാഹരണത്തിന്, സെറ്റൂയിഡ് ഫ്ലാഗ് ഉണ്ടെങ്കിൽ.

ഡീഫോൾട്ടായി ഒരു പുതിയ മൗണ്ട് നെയിംസ്പേസ് സൃഷ്ടിച്ചാണ് ഫയൽസിസ്റ്റം തലത്തിൽ ഐസൊലേഷൻ ചെയ്യുന്നത്, അതിൽ tmpfs ഉപയോഗിച്ച് ഒരു ശൂന്യമായ റൂട്ട് പാർട്ടീഷൻ ഉണ്ടാക്കുന്നു. ആവശ്യമെങ്കിൽ, "മൌണ്ട് --ബൈൻഡ്" മോഡിൽ ഈ പാർട്ടീഷനിലേക്ക് ഒരു ബാഹ്യ എഫ്എസ് പാർട്ടീഷനുകൾ ഘടിപ്പിച്ചിരിക്കുന്നു (ഉദാഹരണത്തിന്, നിങ്ങൾ "bwrap --ro-bind /usr /usr" ഓപ്ഷൻ ഉപയോഗിച്ച് ഇത് ആരംഭിക്കുമ്പോൾ, /usr പാർട്ടീഷൻ പ്രധാന സിസ്റ്റത്തിൽ നിന്ന് റീഡ്-ഒൺലി മോഡിൽ ഫോർവേഡ് ചെയ്യുന്നു). CLONE_NEWNET, CLONE_NEWUTS ഫ്ലാഗുകൾ വഴി നെറ്റ്‌വർക്ക് സ്റ്റാക്ക് ഐസൊലേഷനോടുകൂടിയ ലൂപ്പ്ബാക്ക് ഇന്റർഫേസ് ആക്‌സസ് ചെയ്യാൻ നെറ്റ്‌വർക്കിംഗ് പരിമിതപ്പെടുത്തിയിരിക്കുന്നു.

സെറ്റൂയിഡ് ലോഞ്ച് മോഡൽ ഉപയോഗിക്കുന്ന സമാനമായ ഫയർജയിൽ പ്രോജക്‌റ്റിൽ നിന്നുള്ള പ്രധാന വ്യത്യാസം, ബബിൾ റാപ്പിൽ കണ്ടെയ്‌നർ സൃഷ്‌ടിക്കൽ ലെയറിൽ ആവശ്യമായ ഏറ്റവും കുറഞ്ഞ കഴിവുകളും ഗ്രാഫിക്കൽ ആപ്ലിക്കേഷനുകൾ പ്രവർത്തിപ്പിക്കുന്നതിനും ഡെസ്‌ക്‌ടോപ്പുമായി ഇടപഴകുന്നതിനും അഭ്യർത്ഥനകൾ ഫിൽട്ടറിംഗ് ചെയ്യുന്നതിനും ആവശ്യമായ എല്ലാ നൂതന ഫംഗ്ഷനുകളും ഉൾപ്പെടുന്നു എന്നതാണ്. Pulseaudio-യിലേക്ക്, Flatpak വശത്തേക്ക് മാറ്റുകയും പ്രത്യേകാവകാശങ്ങൾ പുനഃസജ്ജമാക്കിയതിന് ശേഷം നടപ്പിലാക്കുകയും ചെയ്യുന്നു. മറുവശത്ത്, ഫയർജയിൽ, ഒരു എക്സിക്യൂട്ടബിൾ ഫയലിൽ ബന്ധപ്പെട്ട എല്ലാ പ്രവർത്തനങ്ങളും സംയോജിപ്പിക്കുന്നു, ഇത് ശരിയായ തലത്തിൽ ഓഡിറ്റ് ചെയ്യുന്നതിനും സുരക്ഷ നിലനിർത്തുന്നതിനും ബുദ്ധിമുട്ടാക്കുന്നു.

പുതിയ റിലീസിൽ:

• മെസൺ അസംബ്ലി സിസ്റ്റത്തിനുള്ള പിന്തുണ ചേർത്തു. Autotools ഉപയോഗിച്ച് നിർമ്മിക്കുന്നതിനുള്ള പിന്തുണ ഇപ്പോൾ നിലനിർത്തിയിട്ടുണ്ട്, എന്നാൽ ഭാവിയിൽ ഒരു റിലീസിൽ നീക്കം ചെയ്യപ്പെടും.
• ഒന്നിൽ കൂടുതൽ seccomp പ്രോഗ്രാമുകൾ ചേർക്കാൻ "--add-seccomp" ഓപ്ഷൻ നടപ്പിലാക്കി. നിങ്ങൾ "--seccomp" ഓപ്ഷൻ വീണ്ടും വ്യക്തമാക്കിയാൽ, അവസാന പാരാമീറ്റർ മാത്രമേ പ്രയോഗിക്കൂ എന്ന മുന്നറിയിപ്പ് ചേർത്തു.
• ജിറ്റ് റിപ്പോസിറ്ററിയിലെ മാസ്റ്റർ ബ്രാഞ്ച് മെയിൻ എന്ന് പുനർനാമകരണം ചെയ്തു.
• ലൈസൻസും പകർപ്പവകാശ വിവരങ്ങളും വ്യക്തമാക്കുന്ന പ്രക്രിയയെ ഏകീകരിക്കുന്ന REUSE സ്പെസിഫിക്കേഷനായി ഭാഗിക പിന്തുണ ചേർത്തു. പല കോഡ് ഫയലുകളിലും SPDX-ലൈസൻസ്-ഐഡന്റിഫയർ തലക്കെട്ടുകൾ ചേർത്തിട്ടുണ്ട്. REUSE മാർഗ്ഗനിർദ്ദേശങ്ങൾ പാലിക്കുന്നത് ആപ്ലിക്കേഷൻ കോഡിന്റെ ഏതൊക്കെ ഭാഗങ്ങൾക്ക് ഏത് ലൈസൻസ് ബാധകമാണെന്ന് സ്വയമേവ നിർണ്ണയിക്കുന്നത് എളുപ്പമാക്കുന്നു.
• കമാൻഡ് ലൈൻ ആർഗ്യുമെന്റ് കൗണ്ടറിന്റെ (ആർജിസി) മൂല്യം പരിശോധിക്കുന്നത് ചേർത്തു, കൌണ്ടർ പൂജ്യമാണെങ്കിൽ എമർജൻസി എക്സിറ്റ് നടപ്പിലാക്കി. പോൾകിറ്റിലെ CVE-2021-4034 പോലെയുള്ള പാസാക്കിയ കമാൻഡ് ലൈൻ ആർഗ്യുമെന്റുകൾ തെറ്റായി കൈകാര്യം ചെയ്യുന്നതിലൂടെ ഉണ്ടാകുന്ന സുരക്ഷാ പ്രശ്നങ്ങൾ തടയാൻ ഈ മാറ്റം സഹായിക്കുന്നു.

അവലംബം: opennet.ru