{"id":107033,"date":"2023-03-02T06:48:15","date_gmt":"2023-03-02T04:48:15","guid":{"rendered":"https:\/\/prohoster.info\/?p=107033"},"modified":"2023-03-03T15:16:36","modified_gmt":"2023-03-03T13:16:36","slug":"vypusk-bubblewrap-0-8-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/vypusk-bubblewrap-0-8-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","title":{"rendered":"Uitgave van Bubblewrap 0.8, een laag voor het cre\u00ebren van ge\u00efsoleerde omgevingen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

De release van de Bubblewrap-toolkit 0.8 is beschikbaar, die doorgaans wordt gebruikt om afzonderlijke applicaties van niet-geprivilegieerde gebruikers te beperken. In de praktijk wordt Bubblewrap gebruikt door het Flatpak-project als een laag voor isolatie van applicaties die uit pakketten worden uitgevoerd. De projectcode is geschreven in de programmeertaal C en wordt verspreid onder de LGPLv2+-licentie. <\/p>\n

Voor isolatie worden traditionele Linux-technologie\u00ebn voor containervirtualisatie gebruikt, gebaseerd op cgroups, namespaces, Seccomp en SELinux. Om geprivilegieerde operaties voor het instellen van de container uit te voeren, wordt Bubblewrap met root-rechten uitgevoerd (uitvoerbare bestanden met de suid-vlag) en worden de privileges na de initialisatie van de container weer teruggezet. <\/p>\n

Activatie in het systeem van gebruikersnamespace-identificatoren, die het mogelijk maken om binnen containers een eigen set identificatoren te gebruiken, is niet nodig, aangezien het standaard niet werkt in veel distributies (Bubblewrap wordt gepositioneerd als een beperkte suid-implementatie van een subset van de mogelijkheden van gebruikersnamespaces \u2014 om alle gebruikers- en procesidentificatoren uit de omgeving te verwijderen, behalve de huidige, worden de modi CLONE_NEWUSER en CLONE_NEWPID gebruikt). Voor extra bescherming worden programma's die onder Bubblewrap draaien, gestart in de modus PR_SET_NO_NEW_PRIVS, die het verkrijgen van nieuwe privileges verbiedt, bijvoorbeeld wanneer de setuid-vlag is ingesteld. <\/p>\n

Bestandsysteemisolatie wordt gerealiseerd door standaard een nieuwe mount-namespace te cre\u00ebren, waarin met behulp van tmpfs een leeg rootbestandssysteem wordt aangemaakt. In dit bestandssysteem worden indien nodig partities van externe bestandssystemen in de 'mount \u2014bind'-modus aangekoppeld (bijvoorbeeld bij het starten met de optie 'bwrap \u2014ro-bind \/usr \/usr' wordt de \/usr-partitie in alleen-lezen modus vanuit het primaire systeem doorgestuurd). Netwerkfunctionaliteiten worden beperkt tot de toegang tot de loopback-interface met isolatie van de netwerkstack via de vlaggen CLONE_NEWNET en CLONE_NEWUTS. <\/p>\n

Een belangrijk verschil met een vergelijkbaar project Firejail, dat ook een op setuid gebaseerde startmodel gebruikt, is dat de laag voor het cre\u00ebren van containers in Bubblewrap alleen de absoluut noodzakelijke permissies omvat, terwijl alle geavanceerde functies die nodig zijn voor het uitvoeren van grafische applicaties, interactie met de desktop en filtering van verzoeken naar Pulseaudio, naar de kant van Flatpak zijn verplaatst en pas na het intrekken van de privileges worden uitgevoerd. Firejail daarentegen combineert alle bijbehorende functies in \u00e9\u00e9n uitvoerbaar bestand, wat het auditproces en het handhaven van veiligheid op een goed niveau bemoeilijkt. <\/p>\n

In de nieuwe release: <\/p>\n