Objavljena je nova verzija alata za organizaciju rada izoliranih okruženja Bubblewrap 0.11, koji se koristi za ograničavanje pojedinačnih aplikacija nepovlaštenih korisnika. U praksi se Bubblewrap koristi u projektu Flatpak kao sloj za izolaciju aplikacija pokrenutih iz paketa. Za izolaciju se koriste tradicionalne Linux tehnologije kontejnerske virtualizacije, temeljene na korištenju cgroups, prostorima imena (namespaces), Seccomp i SELinux. Kod projekta napisan je na jeziku C i distribuira se pod licencom LGPLv2+.
Izolacija na razini datotečnog sustava ostvaruje se stvaranjem novog imenskog prostora točaka montiranja (mount namespace) prema zadanim postavkama, u kojem se pomoću tmpfs stvara prazna korijenska particija. U ovu particiju, po potrebi, povezani su dijelovi vanjskog FS-a u režimu 'mount —bind' (na primjer, pri pokretanju s opcijom 'bwrap —ro-bind /usr /usr' dijel je /usr proslijeđen iz glavnog sustava u režimu samo za čitanje). Mrežne mogućnosti ograničene su na pristup loopback sučelju uz izolaciju mrežnog stoga putem zastavica CLONE_NEWNET i CLONE_NEWUTS.
Kako bi se isključili svi suvišni identifikatori korisnika i procesa iz kreiranog izoliranog okruženja, mogu se koristiti režimi CLONE_NEWUSER (namespace korisnika) i CLONE_NEWPID (PID namespace), dok se za zabranu sticanja novih privilegija koristi režim PR_SET_NO_NEW_PRIVS. Na sustavima s „user namespace” Bubblewrap može se pokretati pod običnim korisnikom, dok se na sustavima bez „user namespace” može koristiti sa suid root zastavicom za izvršavanje potrebne inicijalizacije izoliranog okruženja.
U novom izdanju:
- Omogućeno je kreiranje točaka montiranja, u kojima se koristi jednoslojni datotečni sustav OverlayFS, koji spaja nekoliko delova drugih datotečnih sustava. Za upravljanje korištenjem OverlayFS predložene su nove opcije komandne linije „—overlay”, „—tmp-overlay”, „—ro-overlay” i „—overlay-src”.
- Dodana je opcija „—level-prefix” za umetanje u dijagnostički ishod nivoa prioriteta u stilu sysloga, što omogućava korištenje alata poput „logger” i „systemd-cat” za obradu ispisa.
- Prekinuta je podrška za sistem gradnje Autotools. Za izgradnju je sada potreban alat Meson.
Izvor: opennet.ru
