{"id":107033,"date":"2023-03-02T06:48:15","date_gmt":"2023-03-02T04:48:15","guid":{"rendered":"https:\/\/prohoster.info\/?p=107033"},"modified":"2023-03-03T15:16:36","modified_gmt":"2023-03-03T13:16:36","slug":"vypusk-bubblewrap-0-8-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/vypusk-bubblewrap-0-8-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","title":{"rendered":"Lan\u00e7amento do Bubblewrap 0.8, uma camada para cria\u00e7\u00e3o de ambientes isolados.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Est\u00e1 dispon\u00edvel a vers\u00e3o 0.8 da ferramenta Bubblewrap para a organiza\u00e7\u00e3o de ambientes isolados, geralmente utilizada para limitar aplicativos espec\u00edficos de usu\u00e1rios n\u00e3o privilegiados. Na pr\u00e1tica, o Bubblewrap \u00e9 usado pelo projeto Flatpak como uma camada para isolar a execu\u00e7\u00e3o de aplicativos empacotados. O c\u00f3digo do projeto \u00e9 escrito em C e distribu\u00eddo sob a licen\u00e7a LGPLv2+. <\/p>\n

Para isolamento, s\u00e3o utilizadas tecnologias tradicionais de virtualiza\u00e7\u00e3o de cont\u00eaineres do Linux, baseadas no uso de cgroups, namespaces, Seccomp e SELinux. Para realizar opera\u00e7\u00f5es privilegiadas de configura\u00e7\u00e3o do cont\u00eainer, o Bubblewrap \u00e9 executado com privil\u00e9gios de root (arquivo execut\u00e1vel com a flag suid), com a posterior revoga\u00e7\u00e3o das permiss\u00f5es ap\u00f3s a inicializa\u00e7\u00e3o do cont\u00eainer. <\/p>\n

A ativa\u00e7\u00e3o no sistema de namespaces de identificadores de usu\u00e1rio (user namespaces), que permite usar um conjunto separado de identificadores em cont\u00eaineres, n\u00e3o \u00e9 necess\u00e1ria, pois por padr\u00e3o n\u00e3o funciona em muitas distribui\u00e7\u00f5es (Bubblewrap \u00e9 posicionado como uma implementa\u00e7\u00e3o suid limitada de um subconjunto das funcionalidades dos user namespaces \u2014 para excluir todos os identificadores de usu\u00e1rios e processos do ambiente, exceto o atual, s\u00e3o utilizados os modos CLONE_NEWUSER e CLONE_NEWPID). Para maior prote\u00e7\u00e3o, os programas executados sob Bubblewrap s\u00e3o iniciados no modo PR_SET_NO_NEW_PRIVS, que pro\u00edbe a obten\u00e7\u00e3o de novos privil\u00e9gios, por exemplo, na presen\u00e7a da flag setuid. <\/p>\n

A isolamento a n\u00edvel do sistema de arquivos \u00e9 realizado atrav\u00e9s da cria\u00e7\u00e3o por padr\u00e3o de um novo espa\u00e7o de nomes de pontos de montagem (mount namespace), no qual um sistema de arquivos vazio \u00e9 criado utilizando o tmpfs. Neste sistema, segmentos de sistemas de arquivos externos podem ser montados no modo «mount —bind» (por exemplo, ao executar com a op\u00e7\u00e3o «bwrap —ro-bind \/usr \/usr», o segmento \/usr \u00e9 passado do sistema principal no modo somente leitura). As capacidades de rede s\u00e3o limitadas ao acesso \u00e0 interface de loopback com isolamento da pilha de rede atrav\u00e9s das flags CLONE_NEWNET e CLONE_NEWUTS. <\/p>\n

A principal diferen\u00e7a em rela\u00e7\u00e3o ao projeto semelhante Firejail, que tamb\u00e9m utiliza o modelo de execu\u00e7\u00e3o com setuid, \u00e9 que no Bubblewrap a camada para a cria\u00e7\u00e3o de cont\u00eaineres inclui apenas o m\u00ednimo necess\u00e1rio de funcionalidades, enquanto todas as fun\u00e7\u00f5es avan\u00e7adas necess\u00e1rias para a execu\u00e7\u00e3o de aplicativos gr\u00e1ficos, intera\u00e7\u00e3o com a \u00e1rea de trabalho e filtragem de chamadas ao Pulseaudio, foram transferidas para o Flatpak e s\u00e3o executadas j\u00e1 ap\u00f3s a revoga\u00e7\u00e3o de privil\u00e9gios. O Firejail, por sua vez, combina em um \u00fanico arquivo execut\u00e1vel todas as fun\u00e7\u00f5es auxiliares, o que dificulta sua auditoria e manuten\u00e7\u00e3o de seguran\u00e7a em n\u00edveis adequados. <\/p>\n

No novo lan\u00e7amento: <\/p>\n