Utgåvan av Bubblewrap 0.12, lager för skapande av isolerade miljöer

Den nya versionen av verktyget för att organisera arbete i isolerade miljöer, Bubblewrap 0.12, har publicerats. Detta verktyg används för att begränsa enskilda applikationer för icke-privilegierade användare. I praktiken används Bubblewrap av Flatpak-projektet som ett lager för isolering av applikationer som startas från paket. Isoleringen baseras på traditionella Linux-teknologier för containervirtualisering, där cgroups, namnrymder (namespaces), Seccomp och SELinux används. Projekts källkod är skriven i C och distribueras under LGPLv2.1+-licensen.

Isoleringen på filsystemsnivå sker genom att skapa ett nytt namnrymd för montering (mount namespace) som standard, där ett tomt rotpartition skapas med tmpfs. I detta partition monteras externa filsystem vid behov i läget "mount —bind" (till exempel, vid körning med alternativet "bwrap —ro-bind /usr /usr" kopplas /usr från huvudsystemet i skrivskyddat läge). Nätverksmöjligheterna begränsas till åtkomst till loopback-gränssnittet med isolering av nätverksstacken via flaggorna CLONE_NEWNET och CLONE_NEWUTS.

För att utesluta alla överflödiga användar- och processidentifierare från den skapade isolerade miljön kan lägena CLONE_NEWUSER (användarnamnrymd) och CLONE_NEWPID (PID-namnrymd) användas, och för att förbjuda inträde av nya privilegier används läget PR_SET_NO_NEW_PRIVS. För att erhålla nödvändiga privilegier används 'användarnamnrymd'.

I den nya utgåvan:

• Licensen för koden har ändrats från LGPL 2.0+ till LGPL 2.1+.
• Stödet för att bygga en körbar fil som får extra privilegier med suid root-flaggor har upphört. Stöd för 'användarnamnrymd' är nu obligatoriskt i systemet. Anledningen anges som den arbetsinsats som krävs för att underhålla versionen med suid-flaggan, med tanke på det allmänna stödet för 'användarnamnrymd' i distributionerna.
• Alternativet '--not-a-security-boundary' har lagts till, vilket innebär att vissa fel vid konfigurationen av den isolerade sandbox-miljön, såsom återmontering av en del, inte leder till en krasch.
• En byggalternativet 'assume_kernel' har lagts till, vilket inaktiverar säkerställandet av bakåtkompatibilitet med Linux-kärnor som är äldre än den angivna versionen. Till exempel kommer angivelse av versioner 5.6.0+ att utesluta alternativ implementering av funktionaliteten 'openat2(RESOLVE_IN_ROOT)'.

Källa: opennet.ru