Bubblewrap 0.9 को रिलीज, पृथक वातावरण सिर्जना गर्न को लागी एक तह

विकासको एक वर्ष पछि, पृथक वातावरणको कामलाई व्यवस्थित गर्नको लागि टुलकिटको नयाँ संस्करण, Bubblewrap 0.9, प्रकाशित गरिएको छ, विशेषाधिकार नभएका प्रयोगकर्ताहरूको व्यक्तिगत अनुप्रयोगहरू प्रतिबन्ध गर्न प्रयोग गरिन्छ। अभ्यासमा, प्याकेजहरूबाट लन्च गरिएका अनुप्रयोगहरूलाई अलग गर्नको लागि Flatpak परियोजनाले तहको रूपमा Bubblewrap प्रयोग गर्छ। परियोजना कोड C मा लेखिएको छ र LGPLv2+ लाइसेन्स अन्तर्गत वितरण गरिएको छ।

परम्परागत सामग्रीहरू इन्सुलेशनको लागि प्रयोग गरिन्छ Linux cgroups, namespaces, Seccomp र SE को प्रयोगमा आधारित कन्टेनर भर्चुअलाइजेशन प्रविधिहरूLinuxविशेषाधिकार प्राप्त कन्टेनर कन्फिगरेसन अपरेशनहरू गर्न, बबलर्‍याप रूट विशेषाधिकारहरूसँग चल्छ (कार्यान्वयनयोग्य फाइलमा suid झण्डा सक्षम पारिएको छ) र त्यसपछि कन्टेनर प्रारम्भ पूरा भएपछि विशेषाधिकारहरू छोड्छ।

नेमस्पेस प्रणालीमा प्रयोगकर्ता नेमस्पेसहरूको सक्रियता, जसले तपाईंलाई कन्टेनरहरूमा पहिचानकर्ताहरूको आफ्नै सेट प्रयोग गर्न अनुमति दिन्छ, सञ्चालनको लागि आवश्यक पर्दैन, किनकि यसले धेरै वितरणहरूमा पूर्वनिर्धारित रूपमा काम गर्दैन (बबल र्यापलाई सीमित सुइड कार्यान्वयनको रूपमा राखिएको छ। प्रयोगकर्ता नेमस्पेस क्षमताहरूको सबसेट - वातावरणबाट सबै प्रयोगकर्ता र प्रक्रिया पहिचानकर्ताहरू बहिष्कार गर्न, हालको बाहेक, CLONE_NEWUSER र CLONE_NEWPID मोडहरू प्रयोग गरिन्छ। थप सुरक्षाको लागि, Bubblewrap अन्तर्गत कार्यान्वयन गरिएका कार्यक्रमहरू PR_SET_NO_NEW_PRIVS मोडमा सुरु गरिन्छ, जसले नयाँ विशेषाधिकारहरू प्राप्त गर्न निषेध गर्दछ, उदाहरणका लागि, यदि सेटुइड झण्डा अवस्थित छ।

फाइल प्रणाली स्तरमा अलगाव पूर्वनिर्धारित रूपमा नयाँ माउन्ट नेमस्पेस सिर्जना गरेर पूरा हुन्छ, जसमा tmpfs प्रयोग गरेर खाली रूट विभाजन सिर्जना गरिन्छ। यदि आवश्यक भएमा, बाह्य FS विभाजनहरू यस विभाजनमा "mount —bind" मोडमा संलग्न हुन्छन् (उदाहरणका लागि, जब "bwrap —ro-bind /usr /usr" विकल्पसँग सुरु हुन्छ, /usr विभाजनलाई मुख्य प्रणालीबाट फर्वार्ड गरिन्छ। पढ्ने मात्र मोडमा)। नेटवर्क क्षमताहरू CLONE_NEWNET र CLONE_NEWUTS फ्ल्यागहरू मार्फत नेटवर्क स्ट्याक अलगावको साथ लुपब्याक इन्टरफेसमा पहुँच गर्न सीमित छन्।

समान फायरजेल परियोजनाबाट मुख्य भिन्नता, जसले सेटुइड लन्च मोडेल पनि प्रयोग गर्दछ, यो हो कि बबलव्र्यापमा कन्टेनर निर्माण तहले आवश्यक न्यूनतम क्षमताहरू मात्र समावेश गर्दछ, र ग्राफिकल अनुप्रयोगहरू चलाउनका लागि आवश्यक सबै उन्नत प्रकार्यहरू, डेस्कटपसँग अन्तर्क्रिया गर्ने र अनुरोधहरू फिल्टर गर्ने। Pulseaudio मा, Flatpak पक्षमा स्थानान्तरण गरियो र विशेषाधिकारहरू रिसेट गरिसकेपछि कार्यान्वयन गरियो। अर्कोतर्फ, फायरजेलले सबै सम्बन्धित कार्यहरूलाई एक कार्यान्वयनयोग्य फाइलमा संयोजन गर्दछ, जसले यसलाई उचित स्तरमा अडिट गर्न र सुरक्षा कायम गर्न गाह्रो बनाउँछ।

नयाँ रिलीज मा:

• Autotools मा उत्पन्न गरिएका फाइलहरू स्रोत प्याकेजबाट हटाइएका छन्। मेसन निर्माण प्रणाली अब विधानसभाको लागि सिफारिस गरिएको छ। Autotools को लागि ऐच्छिक समर्थन अहिलेको लागि बाँकी छ, तर भविष्यका रिलीजहरूमा हटाउने योजना छ।
• आदेश रेखा शून्य तर्कको मान सेट गर्न "--argv0" विकल्प थपियो (argv[0] कार्यान्वयनयोग्य फाइलको नाम हो, उदाहरणका लागि "-argv0 /usr/bin/test")।
• "--symlink" विकल्प अब तब मात्र सक्रिय हुन्छ जब प्रतीकात्मक लिङ्क पहिले नै अवस्थित हुन्छ र इच्छित लक्ष्य फाइलमा पोइन्ट गर्दछ।
• "--cap-add" विकल्प दस्तावेज गरिएको छ र क्षमता झण्डाहरू सेट गर्न प्रयोग गरिन्छ, उदाहरणका लागि, "CAP_DAC_READ_SEARCH"।
• माउन्ट असफल हुँदा त्रुटिहरूको बढ्दो जानकारी सामग्री प्रदर्शित हुन्छ।
• एकाइ परीक्षण सिर्जना गर्ने प्रक्रियालाई सरलीकृत गरिएको छ।
• प्रयोग केसहरूले अब पाइथनको पुरानो संस्करणहरूलाई समर्थन गर्दैन।
• सुधारिएको मेमोरी आवंटन कार्यहरू।

स्रोत: opennet.ru