{"id":107033,"date":"2023-03-02T06:48:15","date_gmt":"2023-03-02T04:48:15","guid":{"rendered":"https:\/\/prohoster.info\/?p=107033"},"modified":"2023-03-03T15:16:36","modified_gmt":"2023-03-03T13:16:36","slug":"vypusk-bubblewrap-0-8-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/news\/vypusk-bubblewrap-0-8-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","title":{"rendered":"Lansarea Bubblewrap 0.8, un strat pentru crearea de medii izolate","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Este disponibil\u0103 versiunea 0.8 a instrumentului Bubblewrap pentru crearea de medii izolate, utilizat \u00een mod obi\u0219nuit pentru restric\u021bionarea aplica\u021biilor individuale ale utilizatorilor f\u0103r\u0103 privilegii. \u00cen practic\u0103, Bubblewrap este folosit de proiectul Flatpak ca un strat de izolare pentru aplica\u021biile lansate din pachete. Codul proiectului este scris \u00een limbajul C \u0219i este distribuit sub licen\u021ba LGPLv2+. <\/p>\n

Pentru izolare se folosesc tehnologii tradi\u021bionale de virtualizare a containerelor \u00een Linux, bazate pe utilizarea cgroups, spa\u021biilor de nume (namespaces), Seccomp \u0219i SELinux. Pentru a efectua opera\u021biuni privilegiate de configurare a containerului, Bubblewrap este lansat cu drepturi root (fi\u0219ierul executabil are flag-ul suid) cu resetarea privilegiilor dup\u0103 finalizarea ini\u021bializ\u0103rii containerului. <\/p>\n

Activarea \u00een sistemul spa\u021biilor de nume ale identificatorilor de utilizator (user namespaces), care permit utilizarea unui set separat de identificatori \u00een containere, nu este necesar\u0103, deoarece, \u00een mod implicit, nu func\u021bioneaz\u0103 \u00een multe distribu\u021bii (Bubblewrap este pozi\u021bionat ca o implementare suid limitat\u0103 a unui subset de func\u021bionalit\u0103\u021bi ale spa\u021biilor de nume ale utilizatorilor \u2014 pentru a exclude to\u021bi identificatorii utilizatorilor \u0219i proceselor din mediu, cu excep\u021bia celui curent, se folosesc modurile CLONE_NEWUSER \u0219i CLONE_NEWPID). Pentru o protec\u021bie suplimentar\u0103, programele executabile gestionate de Bubblewrap sunt lansate \u00een modul PR_SET_NO_NEW_PRIVS, interzic\u00e2nd ob\u021binerea de noi privilegii, de exemplu, \u00een cazul \u00een care are loc activarea flag-ului setuid. <\/p>\n

Izolarea la nivel de sistem de fi\u0219iere se realizeaz\u0103 prin crearea, \u00een mod implicit, a unui nou spa\u021biu de nume pentru punctele de montare (mount namespace), \u00een care, cu ajutorul tmpfs, se creeaz\u0103 un sistem de fi\u0219iere r\u0103d\u0103cin\u0103 gol. \u00cen aceast\u0103 parti\u021bie, se pot ata\u0219a, dac\u0103 este necesar, parti\u021bii externe \u00een modul \u201emount \u2014bind\u201d (de exemplu, la pornirea cu op\u021biunea \u201ebwrap \u2014ro-bind \/usr \/usr\u201d, parti\u021bia \/usr este trecut\u0103 din sistemul principal \u00een modul doar pentru citire). Capacit\u0103\u021bile de re\u021bea sunt limitate la accesul la interfa\u021ba loopback, cu izolarea stivei de re\u021bea prin flagurile CLONE_NEWNET \u0219i CLONE_NEWUTS. <\/p>\n

Diferen\u021ba cheie fa\u021b\u0103 de proiectul similar Firejail, care folose\u0219te de asemenea un model de lansare cu utilizarea setuid, este c\u0103 \u00een Bubblewrap stratul pentru crearea containerelor include doar minimul necesar de func\u021bionalit\u0103\u021bi, iar toate func\u021biile extinse necesare pentru a lansa aplica\u021bii grafice, interac\u021biunea cu desktopul \u0219i filtrarea apelurilor c\u0103tre Pulseaudio, sunt externalizate c\u0103tre Flatpak \u0219i executate deja dup\u0103 resetarea privilegiilor. Firejail, pe de alt\u0103 parte, combin\u0103 toate func\u021biile asociate \u00eentr-un singur fi\u0219ier executabil, ceea ce complic\u0103 auditul s\u0103u \u0219i men\u021binerea securit\u0103\u021bii la un nivel adecvat. <\/p>\n

\u00cen noua versiune: <\/p>\n