Издање Бубблеврап 0.4.0, слоја за креирање изолованих окружења

Доступан новый выпуск инструментария Бубблеврап 0.4.0, предназначенного для организации работы изолированных окружений в Linux и функционирующий на уровне приложений непривилегированных пользователей. На практике Bubblewrap используется проектом Flatpak в качестве прослойки для изоляции запускаемых из пакетов приложений. Код проекта написан на языке Си и дистрибуира под лицензией LGPLv2+.

За изолацију се користе традиционалне Линук технологије виртуелизације контејнера, засноване на коришћењу цгроупс, именских простора, Сеццомп и СЕЛинук. Да би се извршиле привилеговане операције за конфигурисање контејнера, Бубблеврап се покреће са роот правима (извршна датотека са ознаком суид), а затим ресетује привилегије након што се контејнер иницијализује.

Активация в системе пространств имён идентификаторов пользователя (user namespaces), позволяющих использовать в контейнерах собственный отдельный набор идентификаторов, для работы не требуется, так как по умолчанию не работает во многих дистрибутивах (Bubblewrap позиционируется как ограниченная suid-реализация подмножества возможностей user namespaces — для исключения всех идентификаторов пользователей и процессов из окружения, кроме текущего, используются режимы CLONE_NEWUSER и CLONE_NEWPID). Для дополнительной защиты исполняемые под управлением
Bubblewrap программы запускаются в режиме PR_SET_NO_NEW_PRIVS, запрещающем получение новых привилегий, например, при наличии флага setuid.

Изолација на нивоу система датотека се постиже креирањем новог простора имена за монтирање подразумевано, у коме се празна роот партиција креира помоћу тмпфс-а. Ако је потребно, екстерне ФС партиције су прикључене на ову партицију у режиму „моунт —бинд“ (на пример, када се покрене са опцијом „бврап —ро-бинд /уср /уср“, /уср партиција се прослеђује из главног система у режиму само за читање). Мрежне могућности су ограничене на приступ интерфејсу повратне петље са изолацијом мрежног стека преко ознака ЦЛОНЕ_НЕВНЕТ и ЦЛОНЕ_НЕВУТС.

Ключевым отличием от похожего проекта Фирејаил, который также использует модель запуска с применением setuid, является то, что в Bubblewrap прослойка для создания контейнеров включает только необходимый минимум возможностей, а все расширенные функции, необходимые для запуска графических приложений, взаимодействия с рабочим столом и фильтрации обращений к Pulseaudio, вынесены на сторону Flatpak и выполняются уже после сброса привилегий. Firejail же объединяет в одном исполняемом файле все сопутствующие функции, что усложняет его аудит и поддержание безопасности на одговарајући ниво.

Новый выпуск примечателен реализацией поддержки присоединения существующих пространств имён идентификаторов пользователей (user namespaces) и процессов (pid namespaces). Для управления подключением пространств имён добавлены флаги «—userns», «—userns2» и «—pidns».
Данная возможность не работает в режиме setuid и требует применения отдельного режима, который может работать без получения прав root, но требует активации
user namespaces в системе (по умолчанию отключены в Debian и RHEL/CentOS) и не исключает возможность eksploatacije потенцијално остающихся рањивости для обода ограничений «user namespaces». Из новых возможностей Bubblewrap 0.4 также отмечается возможность сборки с Си-библиотекой musl вместо glibc и поддержка сохранения информации о пространствах имён в файл со статистикой в формате JSON.

Извор: опеннет.ру