Vydaná nová verzia nástroja na organizáciu práce izolovaných prostredí Bubblewrap 0.11, ktorý slúži na obmedzenie jednotlivých aplikácií neprivilegovaných používateľov. V praxi sa Bubblewrap používa projektom Flatpak ako vrstva na izoláciu spúšťaných aplikácií z balíkov. Na izoláciu sa používajú tradičné technológie kontajnerovej virtualizácie v Linuxe, založené na použití cgroups, priestorov mien (namespaces), Seccomp a SELinux. Kód projektu je napísaný v jazyku C a je distribuovaný pod licenciou LGPLv2+.
Izolácia na úrovni súborového systému sa uskutočňuje prostredníctvom vytvorenia predvolene nového priestoru názvov bodov montovania (mount namespace), v ktorom sa pomocou tmpfs vytvára prázdny koreňový oddiel. Do tohto oddielu sa pri potreba pripájajú oddiely externých FS v režime „mount —bind“ (napríklad pri spustení s možnosťou „bwrap —ro-bind /usr /usr“ sa oddiel /usr prenáša z hlavného systému v režime iba na čítanie). Sieťové možnosti sú obmedzené na prístup k loopback rozhraniu s izoláciou sieťového zásobníka prostredníctvom vlajok CLONE_NEWNET a CLONE_NEWUTS.
Na vylúčenie všetkých zbytočných identifikátorov používateľov a procesov z vytvoreného izolovaného prostredia môžu byť použité režimy CLONE_NEWUSER (user namespace) a CLONE_NEWPID (PID namespace), a na zakázanie získavania nových privilégií sa používa režim PR_SET_NO_NEW_PRIVS. Na systémoch s «user namespace» môže Bubblewrap bežať pod bežným používateľom, zatiaľ čo na systémoch bez «user namespace» môže byť použitý s flagom suid root na vykonanie potrebnej inicializácie izolovaného prostredia.
V novom vydaní:
- Bola poskytnutá možnosť vytvárania bodov pripojenia, v ktorých sa používa monolayerová súborová systémová vrstva OverlayFS, spájajúca niekoľko častí iných súborových systémov. Pre správu používania OverlayFS boli navrhnuté nové možnosti príkazového riadku «—overlay», «—tmp-overlay», «—ro-overlay» a «—overlay-src».
- Pridaná možnosť «—level-prefix» na doplnenie úrovne prioritizácie v diagnostickom výstupe v štýle syslog, čo umožňuje používať na spracovanie výstupu také nástroje ako «logger» a «systemd-cat».
- Podpora pre systém zostavovania Autotools bola ukončená. Na zostavenie je teraz potrebný nástroj Meson.
Zdroj: opennet.ru
