{"id":103439,"date":"2022-02-26T15:37:02","date_gmt":"2022-02-26T13:37:02","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bubblewrap-0-6-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij"},"modified":"2022-02-26T15:37:02","modified_gmt":"2022-02-26T13:37:02","slug":"vypusk-bubblewrap-0-6-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sk\/blog\/news\/vypusk-bubblewrap-0-6-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","title":{"rendered":"Vydanie Bubblewrap 0.6, vrstvy na vytv\u00e1ranie izolovan\u00fdch prostred\u00ed","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Dostupn\u00e1 verzia n\u00e1stroja na organizovanie pr\u00e1ce v izolovan\u00fdch prostrediach Bubblewrap 0.6, zvy\u010dajne pou\u017e\u00edvan\u00e9ho na obmedzenie samostatn\u00fdch aplik\u00e1ci\u00ed nepovolen\u00fdch pou\u017e\u00edvate\u013eov. V praxi sa Bubblewrap pou\u017e\u00edva projektom Flatpak ako medzi\u010dl\u00e1nok na izol\u00e1ciu aplik\u00e1ci\u00ed sp\u00fa\u0161\u0165an\u00fdch z bal\u00edkov. K\u00f3d projektu je nap\u00edsan\u00fd v jazyku C a je distribuovan\u00fd pod licenciou LGPLv2+. <\/p>\n
Na izol\u00e1ciu sa pou\u017e\u00edvaj\u00fa tradi\u010dn\u00e9 technol\u00f3gie kontajnerovej virtualiz\u00e1cie pre Linux, zalo\u017een\u00e9 na pou\u017eit\u00ed cgroups, priestorov mien (namespaces), Seccomp a SELinux. Na vykon\u00e1vanie privilegovan\u00fdch oper\u00e1ci\u00ed pri konfigur\u00e1cii kontajnera sa Bubblewrap sp\u00fa\u0161\u0165a s pr\u00e1vami root (vykon\u00e1vate\u013en\u00fd s\u00fabor s suid-flagom) s n\u00e1sledn\u00fdm zru\u0161en\u00edm privil\u00e9gi\u00ed po dokon\u010den\u00ed inicializ\u00e1cie kontajnera. <\/p>\n
Aktiv\u00e1cia v syst\u00e9me identifik\u00e1torov pou\u017e\u00edvate\u013esk\u00fdch priestorov (user namespaces), ktor\u00e9 umo\u017e\u0148uj\u00fa pou\u017e\u00edva\u0165 v kontajneroch vlastn\u00fd a oddelen\u00fd s\u00fabor identifik\u00e1torov, nie je potrebn\u00e1, ke\u010f\u017ee vo v\u00e4\u010d\u0161ine distrib\u00faci\u00ed predvolene nefunguje (Bubblewrap sa prezentuje ako obmedzen\u00e1 suid implement\u00e1cia podmno\u017einy funkci\u00ed pou\u017e\u00edvate\u013esk\u00fdch priestorov \u2014 na vyl\u00fa\u010denie v\u0161etk\u00fdch identifik\u00e1torov pou\u017e\u00edvate\u013eov a procesov z prostredia, okrem aktu\u00e1lneho, sa pou\u017e\u00edvaj\u00fa re\u017eimy CLONE_NEWUSER a CLONE_NEWPID). Na \u010fal\u0161iu ochranu sa programy spusten\u00e9 pod Bubblewrap sp\u00fa\u0161\u0165aj\u00fa v re\u017eime PR_SET_NO_NEW_PRIVS, ktor\u00fd zakazuje z\u00edskanie nov\u00fdch privil\u00e9gi\u00ed, napr\u00edklad pri zapnutom flagu setuid. <\/p>\n
Izol\u00e1cia na \u00farovni s\u00faborov\u00e9ho syst\u00e9mu sa vykon\u00e1va vytvoren\u00edm nov\u00e9ho priestoru n\u00e1zvov bodov pripojenia (mount namespace) predvolene, v ktorom sa pomocou tmpfs vytvor\u00ed pr\u00e1zdny kore\u0148ov\u00fd oddiel. Do tohto oddielu sa v pr\u00edpade potreby pripojuj\u00fa oddiely vonkaj\u0161ej FS v re\u017eime \u201emount \u2014bind\u201c (napr\u00edklad pri sp\u00fa\u0161\u0165an\u00ed s mo\u017enos\u0165ou \u201ebwrap \u2014ro-bind \/usr \/usr\u201c je oddiel \/usr prepojen\u00fd z hlavn\u00e9ho syst\u00e9mu v re\u017eime iba na \u010d\u00edtanie). Sie\u0165ov\u00e9 mo\u017enosti s\u00fa obmedzen\u00e9 pr\u00edstupom k loopback rozhraniu s izol\u00e1ciou sie\u0165ov\u00e9ho z\u00e1sobn\u00edka cez vlajky CLONE_NEWNET a CLONE_NEWUTS. <\/p>\n
K\u013e\u00fa\u010dov\u00fdm rozdielom od podobn\u00e9ho projektu Firejail, ktor\u00fd tie\u017e pou\u017e\u00edva model sp\u00fa\u0161\u0165ania s pou\u017eit\u00edm setuid, je to, \u017ee v Bubblewrap vrstva na vytv\u00e1ranie kontajnerov obsahuje len nevyhnutn\u00e9 minimum funkci\u00ed, pri\u010dom v\u0161etky roz\u0161\u00edren\u00e9 funkcie potrebn\u00e9 na sp\u00fa\u0161\u0165anie grafick\u00fdch aplik\u00e1ci\u00ed, interakciu s desktopom a filtrovanie po\u017eiadaviek na Pulseaudio, s\u00fa presunut\u00e9 na stranu Flatpak a vykon\u00e1vaj\u00fa sa a\u017e po zru\u0161en\u00ed privil\u00e9gi\u00ed. Firejail v\u0161ak sp\u00e1ja v\u0161etky s\u00favisiace funkcie v jednom vykonate\u013enom s\u00fabore, \u010do komplikuje jeho audit a udr\u017eanie bezpe\u010dnosti na po\u017eadovanej \u00farovni. <\/p>\n
V novom vydan\u00ed: <\/p>\n
\n
Pridan\u00e1 podpora pre syst\u00e9m zostavovania Meson. Podpora pre zostavovanie pomocou Autotools je zatia\u013e zachovan\u00e1, ale bude odstr\u00e1nen\u00e1 v niektor\u00fdch z nasleduj\u00facich vydan\u00ed.\n
Bola implementovan\u00e1 mo\u017enos\u0165 \u201e--add-seccomp\u201c na pridanie viac ako jedn\u00e9ho programu seccomp. Pridan\u00e9 varovanie, \u017ee pri opakovanej \u0161pecifik\u00e1cii mo\u017enosti \u201e--seccomp\u201c sa pou\u017eije len posledn\u00fd parameter.\n
Hlavn\u00e1 vetva v git-repozit\u00e1ri bola premenovan\u00e1 na main.\n
Pridan\u00e1 \u010diasto\u010dn\u00e1 podpora \u0161pecifik\u00e1cie REUSE, ktor\u00e1 zjednodu\u0161uje proces uv\u00e1dzania \u00fadajov o licenci\u00e1ch a autorsk\u00fdch pr\u00e1vach. Do mnoh\u00fdch s\u00faborov s k\u00f3dom boli pridan\u00e9 hlavi\u010dky SPDX-License-Identifier. Dodr\u017eiavanie odpor\u00fa\u010dan\u00ed REUSE umo\u017e\u0148uje zjednodu\u0161i\u0165 automatick\u00e9 ur\u010dovanie, ktor\u00e1 licencia sa uplat\u0148uje na ktor\u00fa \u010das\u0165 k\u00f3du aplik\u00e1cie.\n
Pridan\u00e1 kontrola hodnoty po\u010d\u00edtadla argumentov pr\u00edkazov\u00e9ho riadku (argc) a realizovan\u00e9 n\u00fadzov\u00e9 ukon\u010denie v pr\u00edpade, \u017ee po\u010d\u00edtadlo je nula. Zmena umo\u017e\u0148uje blokovanie probl\u00e9mov so zabezpe\u010den\u00edm sp\u00f4soben\u00fdch nespr\u00e1vnym spracovan\u00edm pren\u00e1\u0161an\u00fdch argumentov pr\u00edkazov\u00e9ho riadku, ako je CVE-2021-4034 v Polkit. <\/ul>\n