पृथक वातावरणातील काम आयोजित करण्यासाठी साधनांचे प्रकाशन बबलरॅप 0.6 उपलब्ध आहे, सामान्यत: विशेषाधिकार नसलेल्या वापरकर्त्यांच्या वैयक्तिक अनुप्रयोगांना प्रतिबंधित करण्यासाठी वापरले जाते. प्रॅक्टिसमध्ये, फ्लॅटपॅक प्रोजेक्टद्वारे पॅकेजेसमधून लॉन्च केलेले ऍप्लिकेशन वेगळे करण्यासाठी बबलरॅपचा वापर केला जातो. प्रकल्प कोड C मध्ये लिहिलेला आहे आणि LGPLv2+ परवान्याअंतर्गत वितरित केला जातो.
आयसोलेशनसाठी, पारंपारिक लिनक्स कंटेनर वर्च्युअलायझेशन तंत्रज्ञान वापरले जातात, cgroups, नेमस्पेसेस, Seccomp आणि SELinux च्या वापरावर आधारित. कंटेनर कॉन्फिगर करण्यासाठी विशेषाधिकारित ऑपरेशन्स करण्यासाठी, बबलरॅप रूट अधिकारांसह लॉन्च केले जाते (स्यूड फ्लॅगसह एक एक्झिक्यूटेबल फाइल) आणि नंतर कंटेनर सुरू झाल्यानंतर विशेषाधिकार रीसेट केले जातात.
नेमस्पेस सिस्टीममध्ये वापरकर्ता नेमस्पेस सक्रिय करणे, जे तुम्हाला कंटेनरमध्ये तुमच्या स्वतःच्या अभिज्ञापकांचा स्वतंत्र संच वापरण्याची परवानगी देते, ऑपरेशनसाठी आवश्यक नाही, कारण ते अनेक वितरणांमध्ये डीफॉल्टनुसार कार्य करत नाही (बबलरॅप मर्यादित सूट अंमलबजावणी म्हणून स्थित आहे. वापरकर्ता नेमस्पेस क्षमतांचा उपसंच - सर्व वापरकर्ता आणि प्रक्रिया अभिज्ञापकांना पर्यावरणातून वगळण्यासाठी, वर्तमान वगळता, CLONE_NEWUSER आणि CLONE_NEWPID मोड वापरले जातात). अतिरिक्त संरक्षणासाठी, Bubblewrap अंतर्गत कार्यान्वित केलेले प्रोग्राम PR_SET_NO_NEW_PRIVS मोडमध्ये लॉन्च केले जातात, जे नवीन विशेषाधिकार प्राप्त करण्यास प्रतिबंधित करते, उदाहरणार्थ, सेटुइड ध्वज उपस्थित असल्यास.
फाइल सिस्टीम स्तरावर आयसोलेशन नवीन माउंट नेमस्पेस बाय डीफॉल्ट तयार करून पूर्ण केले जाते, ज्यामध्ये tmpfs वापरून रिक्त रूट विभाजन तयार केले जाते. आवश्यक असल्यास, बाह्य FS विभाजने या विभाजनाला “mount —bind” मोडमध्ये जोडली जातात (उदाहरणार्थ, जेव्हा “bwrap —ro-bind /usr/usr” पर्यायाने लाँच केले जाते, तेव्हा /usr विभाजन मुख्य प्रणालीवरून अग्रेषित केले जाते. केवळ-वाचनीय मोडमध्ये). नेटवर्क क्षमता CLONE_NEWNET आणि CLONE_NEWUTS फ्लॅगद्वारे नेटवर्क स्टॅक आयसोलेशनसह लूपबॅक इंटरफेसमध्ये प्रवेश करण्यासाठी मर्यादित आहेत.
समान फायरजेल प्रकल्पातील महत्त्वाचा फरक, जो सेटुइड लाँच मॉडेल देखील वापरतो, तो म्हणजे बबलरॅपमध्ये कंटेनर निर्मिती स्तरामध्ये फक्त आवश्यक किमान क्षमता आणि ग्राफिकल ऍप्लिकेशन्स चालवण्यासाठी, डेस्कटॉपशी संवाद साधण्यासाठी आणि फिल्टरिंग विनंत्या करण्यासाठी आवश्यक असलेली सर्व प्रगत कार्ये समाविष्ट असतात. Pulseaudio वर, फ्लॅटपॅक बाजूला हस्तांतरित केले आणि विशेषाधिकार रीसेट केल्यानंतर कार्यान्वित केले. दुसरीकडे, फायरजेल सर्व संबंधित फंक्शन्स एका एक्झिक्यूटेबल फाइलमध्ये एकत्रित करते, ज्यामुळे ऑडिट करणे आणि योग्य स्तरावर सुरक्षा राखणे कठीण होते.
नवीन प्रकाशनात:
- Добавлена поддержка сборочной системы Meson. Поддержка сборки при помощи Autotools пока сохранена, но будет удалена в одном из следующих выпусков.
- Реализована опция «—add-seccomp» для добавления более чем одной программы seccomp. Добавлено предупреждение о том, что при повторном указании опции «—seccomp» будет применён только последний параметр.
- Ветка master в git-репозитории переименована в main.
- Добавлена частичная поддержка спецификации REUSE, унифицирующей процесс указания сведений о лицензиях и авторских правах. Во многие файлы с кодом добавлены заголовки SPDX-License-Identifier. Следование рекомендациям REUSE позволяет упростить автоматическое определение какая лицензия применяется к каким из частей кода приложения.
- Добавлена проверка значения счётчика аргументов командной строки (argc) и реализован экстренный выход в случае если счётчик равен нулю. Изменение позволяет блокировать проблемы с безопасностью, вызванные некорректной обработкой передаваемых аргументов командной строки, такие как CVE-2021-4034 в Polkit.
स्त्रोत: opennet.ru