{"id":107033,"date":"2023-03-02T06:48:15","date_gmt":"2023-03-02T04:48:15","guid":{"rendered":"https:\/\/prohoster.info\/?p=107033"},"modified":"2023-03-03T15:16:36","modified_gmt":"2023-03-03T13:16:36","slug":"vypusk-bubblewrap-0-8-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/vypusk-bubblewrap-0-8-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","title":{"rendered":"Wydanie Bubblewrap 0.8, warstwy do tworzenia izolowanych \u015brodowisk.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Dost\u0119pna jest wersja narz\u0119dzia do organizacji pracy w izolowanych \u015brodowiskach Bubblewrap 0.8, zwykle u\u017cywanego do ograniczania pojedynczych aplikacji nieuprzywilejowanych u\u017cytkownik\u00f3w. W praktyce Bubblewrap jest wykorzystywane przez projekt Flatpak jako warstwa do izolacji uruchamianych aplikacji z pakiet\u00f3w. Kod projektu jest napisany w j\u0119zyku C i jest rozpowszechniany na licencji LGPLv2+. <\/p>\n

Do izolacji wykorzystywane s\u0105 tradycyjne technologie wirtualizacji kontener\u00f3w dla system\u00f3w Linux, oparte na korzystaniu z cgroups, przestrzeni nazw (namespaces), Seccomp i SELinux. Aby wykona\u0107 operacje uprzywilejowane zwi\u0105zane z konfiguracj\u0105 kontenera, Bubblewrap uruchamiane jest z prawami root (plik wykonywalny z flag\u0105 suid) z p\u00f3\u017aniejszym zresetowaniem uprawnie\u0144 po zako\u0144czeniu inicjalizacji kontenera. <\/p>\n

Aktywacja w systemie przestrzeni nazw identyfikator\u00f3w u\u017cytkownik\u00f3w (user namespaces), pozwalaj\u0105ca na u\u017cycie w kontenerach osobnego zestawu identyfikator\u00f3w, nie jest konieczna, poniewa\u017c domy\u015blnie nie dzia\u0142a w wielu dystrybucjach (Bubblewrap jest reklamowany jako ograniczona implementacja suid podzbioru mo\u017cliwo\u015bci user namespaces \u2014 aby wykluczy\u0107 wszystkie identyfikatory u\u017cytkownik\u00f3w i proces\u00f3w z otoczenia, z wyj\u0105tkiem bie\u017c\u0105cego, u\u017cywa tryb\u00f3w CLONE_NEWUSER i CLONE_NEWPID). W celu dodatkowej ochrony programy uruchamiane pod kontrol\u0105 Bubblewrap dzia\u0142aj\u0105 w trybie PR_SET_NO_NEW_PRIVS, zabraniaj\u0105cym uzyskiwania nowych uprawnie\u0144, na przyk\u0142ad w przypadku w\u0142\u0105czenia flagi setuid. <\/p>\n

Izolacja na poziomie systemu plik\u00f3w jest realizowana przez utworzenie domy\u015blnie nowej przestrzeni nazw punkt\u00f3w montowania (mount namespace), w kt\u00f3rej przy pomocy tmpfs tworzony jest pusty katalog g\u0142\u00f3wny. Do tego katalogu mog\u0105 by\u0107 przymocowane rozdzia\u0142y zewn\u0119trznego systemu plik\u00f3w w trybie 'mount \u2014bind' (na przyk\u0142ad, przy uruchamianiu z opcj\u0105 'bwrap \u2014ro-bind \/usr \/usr' rozdzia\u0142 \/usr jest przechodzony z g\u0142\u00f3wnego systemu w trybie tylko do odczytu). Mo\u017cliwo\u015bci sieciowe s\u0105 ograniczone dost\u0119pem do interfejsu loopback z izolacj\u0105 stosu sieciowego przez flagi CLONE_NEWNET i CLONE_NEWUTS. <\/p>\n

Kluczow\u0105 r\u00f3\u017cnic\u0105 w por\u00f3wnaniu do podobnego projektu Firejail, kt\u00f3ry r\u00f3wnie\u017c korzysta z modelu uruchamiania z u\u017cyciem setuid, jest to, \u017ce w Bubblewrap po\u015brednik do tworzenia kontener\u00f3w zawiera tylko niezb\u0119dny minimalny zbi\u00f3r mo\u017cliwo\u015bci, podczas gdy wszystkie rozszerzone funkcje, potrzebne do uruchamiania aplikacji graficznych, interakcji z pulpitem oraz filtrowania po\u0142\u0105cze\u0144 z Pulseaudio, zosta\u0142y przeniesione na stron\u0119 Flatpak i s\u0105 wykonywane ju\u017c po zresetowaniu uprawnie\u0144. Firejail natomiast \u0142\u0105czy w jednym pliku wykonywalnym wszystkie powi\u0105zane funkcje, co utrudnia jego audyt i utrzymanie bezpiecze\u0144stwa na odpowiednim poziomie. <\/p>\n

W nowym wydaniu: <\/p>\n