{"id":120438,"date":"2024-10-31T19:09:22","date_gmt":"2024-10-31T17:09:22","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bubblewrap-0-11-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij"},"modified":"2024-10-31T19:09:22","modified_gmt":"2024-10-31T17:09:22","slug":"vypusk-bubblewrap-0-11-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/vypusk-bubblewrap-0-11-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","title":{"rendered":"Lan\u00e7amento do Bubblewrap 0.11, uma camada para a cria\u00e7\u00e3o de ambientes isolados","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Foi publicada uma nova vers\u00e3o da ferramenta para organiza\u00e7\u00e3o de ambientes isolados Bubblewrap 0.11, utilizada para restringir aplicativos de usu\u00e1rios n\u00e3o privilegiados. Na pr\u00e1tica, o Bubblewrap \u00e9 empregado pelo projeto Flatpak como uma camada de isola\u00e7\u00e3o para aplicativos executados a partir de pacotes. Para a isola\u00e7\u00e3o, s\u00e3o utilizadas tecnologias tradicionais de virtualiza\u00e7\u00e3o de cont\u00eaineres do Linux, baseadas em cgroups, espa\u00e7os de nomes (namespaces), Seccomp e SELinux. O c\u00f3digo do projeto \u00e9 escrito em C e distribu\u00eddo sob a licen\u00e7a LGPLv2+. <\/p>\n
A isolamento a n\u00edvel do sistema de arquivos \u00e9 realizado atrav\u00e9s da cria\u00e7\u00e3o por padr\u00e3o de um novo espa\u00e7o de nomes de pontos de montagem (mount namespace), no qual um sistema de arquivos vazio \u00e9 criado utilizando o tmpfs. Neste sistema, segmentos de sistemas de arquivos externos podem ser montados no modo «mount —bind» (por exemplo, ao executar com a op\u00e7\u00e3o «bwrap —ro-bind \/usr \/usr», o segmento \/usr \u00e9 passado do sistema principal no modo somente leitura). As capacidades de rede s\u00e3o limitadas ao acesso \u00e0 interface de loopback com isolamento da pilha de rede atrav\u00e9s das flags CLONE_NEWNET e CLONE_NEWUTS. <\/p>\n
Para excluir todos os identificadores de usu\u00e1rios e processos desnecess\u00e1rios do ambiente isolado criado, podem ser utilizados os modos CLONE_NEWUSER (namespace de usu\u00e1rio) e CLONE_NEWPID (namespace de PID), e para proibir a obten\u00e7\u00e3o de novos privil\u00e9gios, aplica-se o modo PR_SET_NO_NEW_PRIVS. Em sistemas com «namespace de usu\u00e1rio», o Bubblewrap pode ser executado sob um usu\u00e1rio normal, e em sistemas sem «namespace de usu\u00e1rio», pode ser utilizado com a flag suid root para realizar a inicializa\u00e7\u00e3o necess\u00e1ria do ambiente isolado. <\/p>\n
No novo lan\u00e7amento: <\/p>\n
\n
Foi fornecida a capacidade de criar pontos de montagem, onde \u00e9 utilizada uma arquitetura de sistema de arquivos de m\u00faltiplas camadas, o OverlayFS, que combina v\u00e1rias partes de outros sistemas de arquivos. Novas op\u00e7\u00f5es de linha de comando «—overlay», «—tmp-overlay», «—ro-overlay» e «—overlay-src» foram propostas para gerenciar o uso do OverlayFS.\n
Adicionada a op\u00e7\u00e3o «—level-prefix» para inserir no output de diagn\u00f3stico o n\u00edvel de prioridade no estilo syslog, permitindo utilizar utilit\u00e1rios como «logger» e «systemd-cat» para processar a sa\u00edda.\n
O suporte ao sistema de build Autotools foi descontinuado. Agora, a ferramenta Meson \u00e9 necess\u00e1ria para a constru\u00e7\u00e3o. <\/ul>\n