बबलरॅप 0.8 चे रिलीझ, विलग वातावरण तयार करण्यासाठी एक स्तर

पृथक वातावरणातील काम आयोजित करण्यासाठी साधनांचे प्रकाशन बबलरॅप 0.8 उपलब्ध आहे, सामान्यत: विशेषाधिकार नसलेल्या वापरकर्त्यांच्या वैयक्तिक अनुप्रयोगांना प्रतिबंधित करण्यासाठी वापरले जाते. प्रॅक्टिसमध्ये, फ्लॅटपॅक प्रोजेक्टद्वारे पॅकेजेसमधून लॉन्च केलेले ऍप्लिकेशन वेगळे करण्यासाठी बबलरॅपचा वापर केला जातो. प्रकल्प कोड C मध्ये लिहिलेला आहे आणि LGPLv2+ परवान्याअंतर्गत वितरित केला जातो.

आयसोलेशनसाठी, पारंपारिक लिनक्स कंटेनर वर्च्युअलायझेशन तंत्रज्ञान वापरले जातात, cgroups, नेमस्पेसेस, Seccomp आणि SELinux च्या वापरावर आधारित. कंटेनर कॉन्फिगर करण्यासाठी विशेषाधिकारित ऑपरेशन्स करण्यासाठी, बबलरॅप रूट अधिकारांसह लॉन्च केले जाते (स्यूड फ्लॅगसह एक एक्झिक्यूटेबल फाइल) आणि नंतर कंटेनर सुरू झाल्यानंतर विशेषाधिकार रीसेट केले जातात.

नेमस्पेस सिस्टीममध्ये वापरकर्ता नेमस्पेस सक्रिय करणे, जे तुम्हाला कंटेनरमध्ये तुमच्या स्वतःच्या अभिज्ञापकांचा स्वतंत्र संच वापरण्याची परवानगी देते, ऑपरेशनसाठी आवश्यक नाही, कारण ते अनेक वितरणांमध्ये डीफॉल्टनुसार कार्य करत नाही (बबलरॅप मर्यादित सूट अंमलबजावणी म्हणून स्थित आहे. वापरकर्ता नेमस्पेस क्षमतांचा उपसंच - सर्व वापरकर्ता आणि प्रक्रिया अभिज्ञापकांना पर्यावरणातून वगळण्यासाठी, वर्तमान वगळता, CLONE_NEWUSER आणि CLONE_NEWPID मोड वापरले जातात). अतिरिक्त संरक्षणासाठी, Bubblewrap अंतर्गत कार्यान्वित केलेले प्रोग्राम PR_SET_NO_NEW_PRIVS मोडमध्ये लॉन्च केले जातात, जे नवीन विशेषाधिकार प्राप्त करण्यास प्रतिबंधित करते, उदाहरणार्थ, सेटुइड ध्वज उपस्थित असल्यास.

फाइल सिस्टीम स्तरावर आयसोलेशन नवीन माउंट नेमस्पेस बाय डीफॉल्ट तयार करून पूर्ण केले जाते, ज्यामध्ये tmpfs वापरून रिक्त रूट विभाजन तयार केले जाते. आवश्यक असल्यास, बाह्य FS विभाजने या विभाजनाला “mount —bind” मोडमध्ये जोडली जातात (उदाहरणार्थ, जेव्हा “bwrap —ro-bind /usr/usr” पर्यायाने लाँच केले जाते, तेव्हा /usr विभाजन मुख्य प्रणालीवरून अग्रेषित केले जाते. केवळ-वाचनीय मोडमध्ये). नेटवर्क क्षमता CLONE_NEWNET आणि CLONE_NEWUTS फ्लॅगद्वारे नेटवर्क स्टॅक आयसोलेशनसह लूपबॅक इंटरफेसमध्ये प्रवेश करण्यासाठी मर्यादित आहेत.

समान फायरजेल प्रकल्पातील महत्त्वाचा फरक, जो सेटुइड लाँच मॉडेल देखील वापरतो, तो म्हणजे बबलरॅपमध्ये कंटेनर निर्मिती स्तरामध्ये फक्त आवश्यक किमान क्षमता आणि ग्राफिकल ऍप्लिकेशन्स चालवण्यासाठी, डेस्कटॉपशी संवाद साधण्यासाठी आणि फिल्टरिंग विनंत्या करण्यासाठी आवश्यक असलेली सर्व प्रगत कार्ये समाविष्ट असतात. Pulseaudio वर, फ्लॅटपॅक बाजूला हस्तांतरित केले आणि विशेषाधिकार रीसेट केल्यानंतर कार्यान्वित केले. दुसरीकडे, फायरजेल सर्व संबंधित फंक्शन्स एका एक्झिक्यूटेबल फाइलमध्ये एकत्रित करते, ज्यामुळे ऑडिट करणे आणि योग्य स्तरावर सुरक्षा राखणे कठीण होते.

नवीन प्रकाशनात:

• सँडबॉक्स वातावरणात स्वतःचे नेस्टेड वापरकर्ता नेमस्पेस तयार करणे अक्षम करण्यासाठी “--disable-users” पर्याय जोडला.
• "--disable-users" पर्याय वापरताना विद्यमान वापरकर्ता आयडी जागा वापरली जाते हे तपासण्यासाठी "-asssert-users-disabled" पर्याय जोडला.
• कर्नलमधील CONFIG_SECCOMP आणि CONFIG_SECCOMP_FILTER सेटिंग्ज अक्षम करण्याशी संबंधित त्रुटी संदेशांची माहिती सामग्री वाढवली आहे.

स्त्रोत: opennet.ru