K dispoz\u00edcii je verzia n\u00e1stroja na organiz\u00e1ciu pr\u00e1ce izolovan\u00fdch prostred\u00ed Bubblewrap 0.8, zvy\u010dajne pou\u017e\u00edvan\u00e9ho na obmedzenie jednotliv\u00fdch aplik\u00e1ci\u00ed nepriviligovan\u00fdch pou\u017e\u00edvate\u013eov. V praxi sa Bubblewrap pou\u017e\u00edva projektom Flatpak ako medzi\u010dl\u00e1nok na izol\u00e1ciu sp\u00fa\u0161\u0165an\u00fdch aplik\u00e1ci\u00ed z bal\u00edkov. K\u00f3d projektu je nap\u00edsan\u00fd v jazyku C a je distribuovan\u00fd pod licenciou LGPLv2+. <\/p>\n
Na izol\u00e1ciu sa pou\u017e\u00edvaj\u00fa tradi\u010dn\u00e9 technol\u00f3gie kontajnerovej virtualiz\u00e1cie pre Linux, zalo\u017een\u00e9 na pou\u017eit\u00ed cgroups, priestorov mien (namespaces), Seccomp a SELinux. Na vykon\u00e1vanie privilegovan\u00fdch oper\u00e1ci\u00ed pri konfigur\u00e1cii kontajnera sa Bubblewrap sp\u00fa\u0161\u0165a s pr\u00e1vami root (vykon\u00e1vate\u013en\u00fd s\u00fabor s suid-flagom) s n\u00e1sledn\u00fdm zru\u0161en\u00edm privil\u00e9gi\u00ed po dokon\u010den\u00ed inicializ\u00e1cie kontajnera. <\/p>\n
Aktiv\u00e1cia v syst\u00e9me identifik\u00e1torov pou\u017e\u00edvate\u013esk\u00fdch priestorov (user namespaces), ktor\u00e9 umo\u017e\u0148uj\u00fa pou\u017e\u00edva\u0165 v kontajneroch vlastn\u00fd a oddelen\u00fd s\u00fabor identifik\u00e1torov, nie je potrebn\u00e1, ke\u010f\u017ee vo v\u00e4\u010d\u0161ine distrib\u00faci\u00ed predvolene nefunguje (Bubblewrap sa prezentuje ako obmedzen\u00e1 suid implement\u00e1cia podmno\u017einy funkci\u00ed pou\u017e\u00edvate\u013esk\u00fdch priestorov \u2014 na vyl\u00fa\u010denie v\u0161etk\u00fdch identifik\u00e1torov pou\u017e\u00edvate\u013eov a procesov z prostredia, okrem aktu\u00e1lneho, sa pou\u017e\u00edvaj\u00fa re\u017eimy CLONE_NEWUSER a CLONE_NEWPID). Na \u010fal\u0161iu ochranu sa programy spusten\u00e9 pod Bubblewrap sp\u00fa\u0161\u0165aj\u00fa v re\u017eime PR_SET_NO_NEW_PRIVS, ktor\u00fd zakazuje z\u00edskanie nov\u00fdch privil\u00e9gi\u00ed, napr\u00edklad pri zapnutom flagu setuid. <\/p>\n
Izol\u00e1cia na \u00farovni s\u00faborov\u00e9ho syst\u00e9mu sa vykon\u00e1va vytvoren\u00edm nov\u00e9ho priestoru n\u00e1zvov bodov pripojenia (mount namespace) predvolene, v ktorom sa pomocou tmpfs vytvor\u00ed pr\u00e1zdny kore\u0148ov\u00fd oddiel. Do tohto oddielu sa v pr\u00edpade potreby pripojuj\u00fa oddiely vonkaj\u0161ej FS v re\u017eime \u201emount \u2014bind\u201c (napr\u00edklad pri sp\u00fa\u0161\u0165an\u00ed s mo\u017enos\u0165ou \u201ebwrap \u2014ro-bind \/usr \/usr\u201c je oddiel \/usr prepojen\u00fd z hlavn\u00e9ho syst\u00e9mu v re\u017eime iba na \u010d\u00edtanie). Sie\u0165ov\u00e9 mo\u017enosti s\u00fa obmedzen\u00e9 pr\u00edstupom k loopback rozhraniu s izol\u00e1ciou sie\u0165ov\u00e9ho z\u00e1sobn\u00edka cez vlajky CLONE_NEWNET a CLONE_NEWUTS. <\/p>\n
K\u013e\u00fa\u010dov\u00fdm rozdielom od podobn\u00e9ho projektu Firejail, ktor\u00fd tie\u017e pou\u017e\u00edva model sp\u00fa\u0161\u0165ania s pou\u017eit\u00edm setuid, je to, \u017ee v Bubblewrap vrstva na vytv\u00e1ranie kontajnerov obsahuje len nevyhnutn\u00e9 minimum funkci\u00ed, pri\u010dom v\u0161etky roz\u0161\u00edren\u00e9 funkcie potrebn\u00e9 na sp\u00fa\u0161\u0165anie grafick\u00fdch aplik\u00e1ci\u00ed, interakciu s desktopom a filtrovanie po\u017eiadaviek na Pulseaudio, s\u00fa presunut\u00e9 na stranu Flatpak a vykon\u00e1vaj\u00fa sa a\u017e po zru\u0161en\u00ed privil\u00e9gi\u00ed. Firejail v\u0161ak sp\u00e1ja v\u0161etky s\u00favisiace funkcie v jednom vykonate\u013enom s\u00fabore, \u010do komplikuje jeho audit a udr\u017eanie bezpe\u010dnosti na po\u017eadovanej \u00farovni. <\/p>\n
V novom vydan\u00ed: <\/p>\n