ਬਬਲਵਰੈਪ 0.6 ਦੀ ਰਿਲੀਜ਼, ਅਲੱਗ-ਥਲੱਗ ਵਾਤਾਵਰਣ ਬਣਾਉਣ ਲਈ ਇੱਕ ਪਰਤ

ਅਲੱਗ-ਥਲੱਗ ਵਾਤਾਵਰਨ ਬਬਲਵਰੈਪ 0.6 ਦੇ ਕੰਮ ਨੂੰ ਸੰਗਠਿਤ ਕਰਨ ਲਈ ਸਾਧਨਾਂ ਦੀ ਇੱਕ ਰੀਲੀਜ਼ ਉਪਲਬਧ ਹੈ, ਆਮ ਤੌਰ 'ਤੇ ਗੈਰ-ਅਧਿਕਾਰਤ ਉਪਭੋਗਤਾਵਾਂ ਦੇ ਵਿਅਕਤੀਗਤ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਸੀਮਤ ਕਰਨ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ। ਅਭਿਆਸ ਵਿੱਚ, ਬਬਲਵਰੈਪ ਦੀ ਵਰਤੋਂ ਫਲੈਟਪੈਕ ਪ੍ਰੋਜੈਕਟ ਦੁਆਰਾ ਪੈਕੇਜਾਂ ਤੋਂ ਲਾਂਚ ਕੀਤੀਆਂ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਅਲੱਗ ਕਰਨ ਲਈ ਇੱਕ ਪਰਤ ਵਜੋਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਪ੍ਰੋਜੈਕਟ ਕੋਡ C ਵਿੱਚ ਲਿਖਿਆ ਗਿਆ ਹੈ ਅਤੇ LGPLv2+ ਲਾਇਸੰਸ ਦੇ ਅਧੀਨ ਵੰਡਿਆ ਗਿਆ ਹੈ।

ਆਈਸੋਲੇਸ਼ਨ ਲਈ, cgroups, ਨੇਮਸਪੇਸ, Seccomp ਅਤੇ SELinux ਦੀ ਵਰਤੋਂ ਦੇ ਅਧਾਰ ਤੇ, ਰਵਾਇਤੀ ਲੀਨਕਸ ਕੰਟੇਨਰ ਵਰਚੁਅਲਾਈਜੇਸ਼ਨ ਤਕਨਾਲੋਜੀਆਂ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਇੱਕ ਕੰਟੇਨਰ ਨੂੰ ਕੌਂਫਿਗਰ ਕਰਨ ਲਈ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਪ੍ਰਾਪਤ ਕਾਰਵਾਈਆਂ ਕਰਨ ਲਈ, ਬਬਲਵਰੈਪ ਨੂੰ ਰੂਟ ਰਾਈਟਸ (ਸੂਡ ਫਲੈਗ ਵਾਲੀ ਇੱਕ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ) ਨਾਲ ਲਾਂਚ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ ਫਿਰ ਕੰਟੇਨਰ ਦੇ ਸ਼ੁਰੂ ਹੋਣ ਤੋਂ ਬਾਅਦ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਨੂੰ ਰੀਸੈਟ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।

ਨੇਮਸਪੇਸ ਸਿਸਟਮ ਵਿੱਚ ਯੂਜ਼ਰ ਨੇਮਸਪੇਸ ਦੀ ਐਕਟੀਵੇਸ਼ਨ, ਜੋ ਤੁਹਾਨੂੰ ਕੰਟੇਨਰਾਂ ਵਿੱਚ ਪਛਾਣਕਰਤਾਵਾਂ ਦੇ ਆਪਣੇ ਵੱਖਰੇ ਸੈੱਟ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੀ ਹੈ, ਓਪਰੇਸ਼ਨ ਲਈ ਲੋੜੀਂਦਾ ਨਹੀਂ ਹੈ, ਕਿਉਂਕਿ ਇਹ ਬਹੁਤ ਸਾਰੀਆਂ ਡਿਸਟਰੀਬਿਊਸ਼ਨਾਂ ਵਿੱਚ ਮੂਲ ਰੂਪ ਵਿੱਚ ਕੰਮ ਨਹੀਂ ਕਰਦਾ ਹੈ (ਬਬਲਵਰੈਪ ਨੂੰ ਇੱਕ ਸੀਮਤ ਸੁਇਡ ਲਾਗੂ ਕਰਨ ਦੇ ਤੌਰ ਤੇ ਰੱਖਿਆ ਗਿਆ ਹੈ. ਉਪਭੋਗਤਾ ਨੇਮਸਪੇਸ ਸਮਰੱਥਾਵਾਂ ਦਾ ਸਬਸੈੱਟ - ਵਾਤਾਵਰਣ ਤੋਂ ਸਾਰੇ ਉਪਭੋਗਤਾ ਅਤੇ ਪ੍ਰਕਿਰਿਆ ਪਛਾਣਕਰਤਾਵਾਂ ਨੂੰ ਬਾਹਰ ਕੱਢਣ ਲਈ, ਮੌਜੂਦਾ ਨੂੰ ਛੱਡ ਕੇ, CLONE_NEWUSER ਅਤੇ CLONE_NEWPID ਮੋਡ ਵਰਤੇ ਜਾਂਦੇ ਹਨ)। ਅਤਿਰਿਕਤ ਸੁਰੱਖਿਆ ਲਈ, ਬਬਲਵਰੈਪ ਦੇ ਅਧੀਨ ਲਾਗੂ ਕੀਤੇ ਗਏ ਪ੍ਰੋਗਰਾਮਾਂ ਨੂੰ PR_SET_NO_NEW_PRIVS ਮੋਡ ਵਿੱਚ ਲਾਂਚ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਜੋ ਨਵੇਂ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਦੀ ਪ੍ਰਾਪਤੀ ਨੂੰ ਮਨ੍ਹਾ ਕਰਦਾ ਹੈ, ਉਦਾਹਰਨ ਲਈ, ਜੇਕਰ ਸੈੱਟਯੂਡ ਫਲੈਗ ਮੌਜੂਦ ਹੈ।

ਫਾਇਲ ਸਿਸਟਮ ਪੱਧਰ 'ਤੇ ਆਈਸੋਲੇਸ਼ਨ ਨੂੰ ਮੂਲ ਰੂਪ ਵਿੱਚ ਇੱਕ ਨਵਾਂ ਮਾਊਂਟ ਨੇਮਸਪੇਸ ਬਣਾ ਕੇ ਪੂਰਾ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਜਿਸ ਵਿੱਚ tmpfs ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਇੱਕ ਖਾਲੀ ਰੂਟ ਭਾਗ ਬਣਾਇਆ ਜਾਂਦਾ ਹੈ। ਜੇਕਰ ਲੋੜ ਹੋਵੇ, ਬਾਹਰੀ FS ਭਾਗ ਇਸ ਭਾਗ ਨਾਲ “mount —bind” ਮੋਡ ਵਿੱਚ ਜੁੜੇ ਹੁੰਦੇ ਹਨ (ਉਦਾਹਰਨ ਲਈ, ਜਦੋਂ “bwrap —ro-bind /usr/usr” ਵਿਕਲਪ ਨਾਲ ਲਾਂਚ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਤਾਂ /usr ਭਾਗ ਨੂੰ ਮੁੱਖ ਸਿਸਟਮ ਤੋਂ ਅੱਗੇ ਭੇਜਿਆ ਜਾਂਦਾ ਹੈ। ਸਿਰਫ਼-ਪੜ੍ਹਨ ਦੇ ਮੋਡ ਵਿੱਚ)। ਨੈੱਟਵਰਕ ਸਮਰੱਥਾਵਾਂ CLONE_NEWNET ਅਤੇ CLONE_NEWUTS ਫਲੈਗ ਦੁਆਰਾ ਨੈੱਟਵਰਕ ਸਟੈਕ ਆਈਸੋਲੇਸ਼ਨ ਦੇ ਨਾਲ ਲੂਪਬੈਕ ਇੰਟਰਫੇਸ ਤੱਕ ਪਹੁੰਚ ਤੱਕ ਸੀਮਿਤ ਹਨ।

ਸਮਾਨ ਫਾਇਰਜੇਲ ਪ੍ਰੋਜੈਕਟ ਤੋਂ ਮੁੱਖ ਅੰਤਰ, ਜੋ ਕਿ ਸੈੱਟੂਇਡ ਲਾਂਚ ਮਾਡਲ ਦੀ ਵਰਤੋਂ ਵੀ ਕਰਦਾ ਹੈ, ਇਹ ਹੈ ਕਿ ਬਬਲਵਰੈਪ ਵਿੱਚ ਕੰਟੇਨਰ ਬਣਾਉਣ ਦੀ ਪਰਤ ਵਿੱਚ ਸਿਰਫ ਲੋੜੀਂਦੀਆਂ ਘੱਟੋ-ਘੱਟ ਸਮਰੱਥਾਵਾਂ, ਅਤੇ ਗ੍ਰਾਫਿਕਲ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਚਲਾਉਣ, ਡੈਸਕਟਾਪ ਨਾਲ ਇੰਟਰੈਕਟ ਕਰਨ ਅਤੇ ਬੇਨਤੀਆਂ ਨੂੰ ਫਿਲਟਰ ਕਰਨ ਲਈ ਲੋੜੀਂਦੇ ਸਾਰੇ ਉੱਨਤ ਫੰਕਸ਼ਨ ਸ਼ਾਮਲ ਹੁੰਦੇ ਹਨ। ਪਲਸੌਡੀਓ ਵਿੱਚ, ਫਲੈਟਪੈਕ ਸਾਈਡ ਵਿੱਚ ਤਬਦੀਲ ਕੀਤਾ ਗਿਆ ਅਤੇ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਨੂੰ ਰੀਸੈਟ ਕੀਤੇ ਜਾਣ ਤੋਂ ਬਾਅਦ ਚਲਾਇਆ ਗਿਆ। ਫਾਇਰਜੇਲ, ਦੂਜੇ ਪਾਸੇ, ਇੱਕ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਵਿੱਚ ਸਾਰੇ ਸੰਬੰਧਿਤ ਫੰਕਸ਼ਨਾਂ ਨੂੰ ਜੋੜਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਸਹੀ ਪੱਧਰ 'ਤੇ ਆਡਿਟ ਅਤੇ ਸੁਰੱਖਿਆ ਨੂੰ ਕਾਇਮ ਰੱਖਣਾ ਮੁਸ਼ਕਲ ਹੋ ਜਾਂਦਾ ਹੈ।

ਨਵੀਂ ਰੀਲੀਜ਼ ਵਿੱਚ:

• ਮੇਸਨ ਅਸੈਂਬਲੀ ਸਿਸਟਮ ਲਈ ਸਮਰਥਨ ਜੋੜਿਆ ਗਿਆ। ਆਟੋਟੂਲਸ ਨਾਲ ਬਿਲਡਿੰਗ ਲਈ ਸਮਰਥਨ ਹੁਣ ਲਈ ਬਰਕਰਾਰ ਰੱਖਿਆ ਗਿਆ ਹੈ, ਪਰ ਭਵਿੱਖ ਵਿੱਚ ਰੀਲੀਜ਼ ਵਿੱਚ ਹਟਾ ਦਿੱਤਾ ਜਾਵੇਗਾ।
• ਇੱਕ ਤੋਂ ਵੱਧ seccomp ਪ੍ਰੋਗਰਾਮ ਜੋੜਨ ਲਈ "-add-seccomp" ਵਿਕਲਪ ਲਾਗੂ ਕੀਤਾ ਗਿਆ ਹੈ। ਇੱਕ ਚੇਤਾਵਨੀ ਸ਼ਾਮਲ ਕੀਤੀ ਗਈ ਹੈ ਕਿ ਜੇਕਰ ਤੁਸੀਂ "--seccomp" ਵਿਕਲਪ ਨੂੰ ਦੁਬਾਰਾ ਨਿਰਧਾਰਤ ਕਰਦੇ ਹੋ, ਤਾਂ ਸਿਰਫ਼ ਆਖਰੀ ਪੈਰਾਮੀਟਰ ਲਾਗੂ ਕੀਤਾ ਜਾਵੇਗਾ।
• git ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ ਮਾਸਟਰ ਸ਼ਾਖਾ ਦਾ ਨਾਮ ਮੁੱਖ ਰੱਖ ਦਿੱਤਾ ਗਿਆ ਹੈ।
• REUSE ਨਿਰਧਾਰਨ ਲਈ ਅੰਸ਼ਕ ਸਮਰਥਨ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ ਹੈ, ਜੋ ਲਾਇਸੈਂਸ ਅਤੇ ਕਾਪੀਰਾਈਟ ਜਾਣਕਾਰੀ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨ ਦੀ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਇਕਸਾਰ ਕਰਦਾ ਹੈ। ਬਹੁਤ ਸਾਰੀਆਂ ਕੋਡ ਫਾਈਲਾਂ ਵਿੱਚ SPDX-ਲਾਈਸੈਂਸ-ਪਛਾਣਕਰਤਾ ਸਿਰਲੇਖ ਸ਼ਾਮਲ ਕੀਤੇ ਗਏ ਹਨ। REUSE ਦਿਸ਼ਾ-ਨਿਰਦੇਸ਼ਾਂ ਦੀ ਪਾਲਣਾ ਕਰਨ ਨਾਲ ਇਹ ਸਵੈਚਲਿਤ ਤੌਰ 'ਤੇ ਨਿਰਧਾਰਤ ਕਰਨਾ ਆਸਾਨ ਹੋ ਜਾਂਦਾ ਹੈ ਕਿ ਕਿਹੜਾ ਲਾਇਸੰਸ ਐਪਲੀਕੇਸ਼ਨ ਕੋਡ ਦੇ ਕਿਹੜੇ ਹਿੱਸਿਆਂ 'ਤੇ ਲਾਗੂ ਹੁੰਦਾ ਹੈ।
• ਕਮਾਂਡ ਲਾਈਨ ਆਰਗੂਮੈਂਟ ਕਾਊਂਟਰ (argc) ਦੇ ਮੁੱਲ ਦੀ ਜਾਂਚ ਕਰਨਾ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ ਅਤੇ ਕਾਊਂਟਰ ਜ਼ੀਰੋ ਹੋਣ 'ਤੇ ਐਮਰਜੈਂਸੀ ਐਗਜ਼ਿਟ ਲਾਗੂ ਕੀਤਾ ਗਿਆ। ਪਰਿਵਰਤਨ ਪਾਸ ਕੀਤੇ ਕਮਾਂਡ ਲਾਈਨ ਆਰਗੂਮੈਂਟਾਂ, ਜਿਵੇਂ ਕਿ Polkit ਵਿੱਚ CVE-2021-4034 ਦੇ ਗਲਤ ਪ੍ਰਬੰਧਨ ਕਾਰਨ ਹੋਣ ਵਾਲੇ ਸੁਰੱਖਿਆ ਮੁੱਦਿਆਂ ਨੂੰ ਰੋਕਣ ਵਿੱਚ ਮਦਦ ਕਰਦਾ ਹੈ।

ਸਰੋਤ: opennet.ru