{"id":103439,"date":"2022-02-26T15:37:02","date_gmt":"2022-02-26T13:37:02","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bubblewrap-0-6-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij"},"modified":"2022-02-26T15:37:02","modified_gmt":"2022-02-26T13:37:02","slug":"vypusk-bubblewrap-0-6-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/vypusk-bubblewrap-0-6-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","title":{"rendered":"Bubblewrap 0.6-uitgave, een laag voor het cre\u00ebren van ge\u00efsoleerde omgevingen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
De release van de Bubblewrap-toolset voor het organiseren van ge\u00efsoleerde omgevingen 0.6 is beschikbaar. Dit wordt doorgaans gebruikt om afzonderlijke toepassingen van niet-geprivilegieerde gebruikers te beperken. In de praktijk wordt Bubblewrap door het Flatpak-project gebruikt als een laag voor de isolatie van ge\u00efnstalleerde toepassingen. De projectcode is geschreven in C en wordt verspreid onder de LGPLv2+-licentie. <\/p>\n
Voor isolatie worden traditionele Linux-technologie\u00ebn voor containervirtualisatie gebruikt, gebaseerd op cgroups, namespaces, Seccomp en SELinux. Om geprivilegieerde operaties voor het instellen van de container uit te voeren, wordt Bubblewrap met root-rechten uitgevoerd (uitvoerbare bestanden met de suid-vlag) en worden de privileges na de initialisatie van de container weer teruggezet. <\/p>\n
Activatie in het systeem van gebruikersnamespace-identificatoren, die het mogelijk maken om binnen containers een eigen set identificatoren te gebruiken, is niet nodig, aangezien het standaard niet werkt in veel distributies (Bubblewrap wordt gepositioneerd als een beperkte suid-implementatie van een subset van de mogelijkheden van gebruikersnamespaces \u2014 om alle gebruikers- en procesidentificatoren uit de omgeving te verwijderen, behalve de huidige, worden de modi CLONE_NEWUSER en CLONE_NEWPID gebruikt). Voor extra bescherming worden programma's die onder Bubblewrap draaien, gestart in de modus PR_SET_NO_NEW_PRIVS, die het verkrijgen van nieuwe privileges verbiedt, bijvoorbeeld wanneer de setuid-vlag is ingesteld. <\/p>\n
Bestandsysteemisolatie wordt gerealiseerd door standaard een nieuwe mount-namespace te cre\u00ebren, waarin met behulp van tmpfs een leeg rootbestandssysteem wordt aangemaakt. In dit bestandssysteem worden indien nodig partities van externe bestandssystemen in de 'mount \u2014bind'-modus aangekoppeld (bijvoorbeeld bij het starten met de optie 'bwrap \u2014ro-bind \/usr \/usr' wordt de \/usr-partitie in alleen-lezen modus vanuit het primaire systeem doorgestuurd). Netwerkfunctionaliteiten worden beperkt tot de toegang tot de loopback-interface met isolatie van de netwerkstack via de vlaggen CLONE_NEWNET en CLONE_NEWUTS. <\/p>\n
Een belangrijk verschil met een vergelijkbaar project Firejail, dat ook een op setuid gebaseerde startmodel gebruikt, is dat de laag voor het cre\u00ebren van containers in Bubblewrap alleen de absoluut noodzakelijke permissies omvat, terwijl alle geavanceerde functies die nodig zijn voor het uitvoeren van grafische applicaties, interactie met de desktop en filtering van verzoeken naar Pulseaudio, naar de kant van Flatpak zijn verplaatst en pas na het intrekken van de privileges worden uitgevoerd. Firejail daarentegen combineert alle bijbehorende functies in \u00e9\u00e9n uitvoerbaar bestand, wat het auditproces en het handhaven van veiligheid op een goed niveau bemoeilijkt. <\/p>\n
In de nieuwe release: <\/p>\n
\n
Ondersteuning voor het Meson-buildsysteem is toegevoegd. Ondersteuning voor het bouwen met Autotools blijft voorlopig bestaan, maar zal in een van de volgende releases worden verwijderd.\n
De optie \u2018\u2014add-seccomp\u2019 is ge\u00efmplementeerd voor het toevoegen van meer dan \u00e9\u00e9n seccomp-programma. Er is een waarschuwing toegevoegd dat bij het opnieuw opgeven van de optie \u2018\u2014seccomp\u2019 alleen de laatste parameter zal worden toegepast.\n
De master-tak in de git-repository is hernoemd naar main.\n
Deelondersteuning voor de REUSE-specificatie is toegevoegd, die het proces van het vermelden van licentie- en auteursrechttinformatie uniform maakt. In veel codebestanden zijn SPDX-License-Identifier-koppen toegevoegd. Het volgen van de REUSE-richtlijnen vereenvoudigt de automatische identificatie van welke licentie van toepassing is op welke delen van de applicatiecode.\n
Controle op de waarde van de argumentteller (argc) voor de commandoregel is toegevoegd en er is een nooduitgang ge\u00efmplementeerd voor het geval de teller nul is. Deze wijziging helpt om beveiligingsproblemen te blokkeren die worden veroorzaakt door een onjuiste verwerking van de doorgegeven argumenten op de commandoregel, zoals CVE-2021-4034 in Polkit. <\/ul>\n