{"id":103439,"date":"2022-02-26T15:37:02","date_gmt":"2022-02-26T13:37:02","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bubblewrap-0-6-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij"},"modified":"2022-02-26T15:37:02","modified_gmt":"2022-02-26T13:37:02","slug":"vypusk-bubblewrap-0-6-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/news\/vypusk-bubblewrap-0-6-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","title":{"rendered":"Lansarea Bubblewrap 0.6, o interfa\u021b\u0103 pentru crearea de medii izolate","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
A fost lansat\u0103 versiunea instrumentului pentru organizarea lucrului \u00een mediile izolate Bubblewrap 0.6, utilizat \u00een general pentru a restric\u021biona aplica\u021biile individuale ale utilizatorilor f\u0103r\u0103 privilegii. \u00cen practic\u0103, Bubblewrap este utilizat de proiectul Flatpak ca un strat pentru izolarea aplica\u021biilor lansate din pachete. Codul proiectului este scris \u00een limbajul C \u0219i este distribuit sub licen\u021ba LGPLv2+. <\/p>\n
Pentru izolare se folosesc tehnologii tradi\u021bionale de virtualizare a containerelor \u00een Linux, bazate pe utilizarea cgroups, spa\u021biilor de nume (namespaces), Seccomp \u0219i SELinux. Pentru a efectua opera\u021biuni privilegiate de configurare a containerului, Bubblewrap este lansat cu drepturi root (fi\u0219ierul executabil are flag-ul suid) cu resetarea privilegiilor dup\u0103 finalizarea ini\u021bializ\u0103rii containerului. <\/p>\n
Activarea \u00een sistemul spa\u021biilor de nume ale identificatorilor de utilizator (user namespaces), care permit utilizarea unui set separat de identificatori \u00een containere, nu este necesar\u0103, deoarece, \u00een mod implicit, nu func\u021bioneaz\u0103 \u00een multe distribu\u021bii (Bubblewrap este pozi\u021bionat ca o implementare suid limitat\u0103 a unui subset de func\u021bionalit\u0103\u021bi ale spa\u021biilor de nume ale utilizatorilor \u2014 pentru a exclude to\u021bi identificatorii utilizatorilor \u0219i proceselor din mediu, cu excep\u021bia celui curent, se folosesc modurile CLONE_NEWUSER \u0219i CLONE_NEWPID). Pentru o protec\u021bie suplimentar\u0103, programele executabile gestionate de Bubblewrap sunt lansate \u00een modul PR_SET_NO_NEW_PRIVS, interzic\u00e2nd ob\u021binerea de noi privilegii, de exemplu, \u00een cazul \u00een care are loc activarea flag-ului setuid. <\/p>\n
Izolarea la nivel de sistem de fi\u0219iere se realizeaz\u0103 prin crearea, \u00een mod implicit, a unui nou spa\u021biu de nume pentru punctele de montare (mount namespace), \u00een care, cu ajutorul tmpfs, se creeaz\u0103 un sistem de fi\u0219iere r\u0103d\u0103cin\u0103 gol. \u00cen aceast\u0103 parti\u021bie, se pot ata\u0219a, dac\u0103 este necesar, parti\u021bii externe \u00een modul \u201emount \u2014bind\u201d (de exemplu, la pornirea cu op\u021biunea \u201ebwrap \u2014ro-bind \/usr \/usr\u201d, parti\u021bia \/usr este trecut\u0103 din sistemul principal \u00een modul doar pentru citire). Capacit\u0103\u021bile de re\u021bea sunt limitate la accesul la interfa\u021ba loopback, cu izolarea stivei de re\u021bea prin flagurile CLONE_NEWNET \u0219i CLONE_NEWUTS. <\/p>\n
Diferen\u021ba cheie fa\u021b\u0103 de proiectul similar Firejail, care folose\u0219te de asemenea un model de lansare cu utilizarea setuid, este c\u0103 \u00een Bubblewrap stratul pentru crearea containerelor include doar minimul necesar de func\u021bionalit\u0103\u021bi, iar toate func\u021biile extinse necesare pentru a lansa aplica\u021bii grafice, interac\u021biunea cu desktopul \u0219i filtrarea apelurilor c\u0103tre Pulseaudio, sunt externalizate c\u0103tre Flatpak \u0219i executate deja dup\u0103 resetarea privilegiilor. Firejail, pe de alt\u0103 parte, combin\u0103 toate func\u021biile asociate \u00eentr-un singur fi\u0219ier executabil, ceea ce complic\u0103 auditul s\u0103u \u0219i men\u021binerea securit\u0103\u021bii la un nivel adecvat. <\/p>\n
\u00cen noua versiune: <\/p>\n
\n
A fost ad\u0103ugat\u0103 suportul pentru sistemul de construc\u021bie Meson. Suportul pentru construirea cu ajutorul Autotools este p\u0103strat deocamdat\u0103, dar va fi eliminat \u00eentr-una din versiunile viitoare.\n
A fost implementat\u0103 op\u021biunea «—add-seccomp» pentru ad\u0103ugarea mai multor programe seccomp. A fost ad\u0103ugat un avertisment c\u0103, \u00een cazul specific\u0103rii repetate a op\u021biunii «—seccomp», va fi aplicat doar ultimul parametru.\n
Rama master din repository-ul git a fost redenumit\u0103 \u00een main.\n
A fost ad\u0103ugat\u0103 suport par\u021bial pentru specifica\u021bia REUSE, care unific\u0103 procesul de specificare a informa\u021biilor despre licen\u021be \u0219i drepturi de autor. \u00cen multe fi\u0219iere de cod au fost ad\u0103ugate antete SPDX-License-Identifier. Respectarea recomand\u0103rilor REUSE permite simplificarea identific\u0103rii automate a licen\u021bei aplicabile asupra diferitelor p\u0103r\u021bi ale codului aplica\u021biei.\n
A fost ad\u0103ugat\u0103 verificarea valorii contorului argumentelor din linia de comand\u0103 (argc) \u0219i implementat\u0103 o ie\u0219ire de urgen\u021b\u0103 \u00een cazul \u00een care contorul este zero. Aceast\u0103 modificare ajut\u0103 la prevenirea problemelor de securitate cauzate de procesarea incorect\u0103 a argumentelor din linia de comand\u0103, cum ar fi CVE-2021-4034 \u00een Polkit. <\/ul>\n