{"id":120438,"date":"2024-10-31T19:09:22","date_gmt":"2024-10-31T17:09:22","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bubblewrap-0-11-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij"},"modified":"2024-10-31T19:09:22","modified_gmt":"2024-10-31T17:09:22","slug":"vypusk-bubblewrap-0-11-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/vypusk-bubblewrap-0-11-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","title":{"rendered":"Release van Bubblewrap 0.11, een laag voor het cre\u00ebren van ge\u00efsoleerde omgevingen.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Een nieuwe versie van de tool voor het organiseren van ge\u00efsoleerde omgevingen, Bubblewrap 0.11, is gepubliceerd. Deze wordt gebruikt voor het beperken van afzonderlijke applicaties van niet-geprivilegieerde gebruikers. In de praktijk wordt Bubblewrap door het Flatpak-project gebruikt als een laag voor de isolatie van applicaties die vanuit pakketten worden uitgevoerd. Voor isolatie worden traditionele Linux-technologie\u00ebn voor containervirtualisatie toegepast, gebaseerd op het gebruik van cgroups, namespaces, Seccomp en SELinux. De code van het project is geschreven in C en wordt verspreid onder de LGPLv2+-licentie. <\/p>\n
Bestandsysteemisolatie wordt gerealiseerd door standaard een nieuwe mount-namespace te cre\u00ebren, waarin met behulp van tmpfs een leeg rootbestandssysteem wordt aangemaakt. In dit bestandssysteem worden indien nodig partities van externe bestandssystemen in de 'mount \u2014bind'-modus aangekoppeld (bijvoorbeeld bij het starten met de optie 'bwrap \u2014ro-bind \/usr \/usr' wordt de \/usr-partitie in alleen-lezen modus vanuit het primaire systeem doorgestuurd). Netwerkfunctionaliteiten worden beperkt tot de toegang tot de loopback-interface met isolatie van de netwerkstack via de vlaggen CLONE_NEWNET en CLONE_NEWUTS. <\/p>\n
Om alle overbodige gebruikers- en procesidentificaties uit de gemaakte ge\u00efsoleerde omgeving te verwijderen, kunnen de modi CLONE_NEWUSER (gebruikersnamespace) en CLONE_NEWPID (PID-namespace) worden gebruikt. Voor het verbieden van het verkrijgen van nieuwe privileges wordt de modus PR_SET_NO_NEW_PRIVS toegepast. Op systemen met 'gebruikersnamespace' kan Bubblewrap worden uitgevoerd onder een normale gebruiker, terwijl op systemen zonder 'gebruikersnamespace' dit met de suid root-vlag kan worden gebruikt om de benodigde initialisatie van de ge\u00efsoleerde omgeving uit te voeren. <\/p>\n
In de nieuwe release: <\/p>\n
\n
Er is de mogelijkheid toegevoegd om mount points te cre\u00ebren waarin het enkelvoudige bestandssysteem OverlayFS wordt gebruikt, dat meerdere onderdelen van andere bestandssystemen samenvoegt. Nieuwe commandoregelopties zijn aangeboden voor het beheren van het gebruik van OverlayFS: '--overlay', '--tmp-overlay', '--ro-overlay' en '--overlay-src'.\n
De optie '--level-prefix' is toegevoegd voor het invoegen van het prioriteitsniveau in de diagnostische uitvoer in syslog-stijl, waardoor hulpprogramma's zoals 'logger' en 'systemd-cat' voor het verwerken van de uitvoer kunnen worden gebruikt.\n
De ondersteuning voor het bouwsysteem Autotools is stopgezet. Voor het bouwen is nu de Meson-tool vereist. <\/ul>\n