Utgåvan av Bubblewrap 0.9, ett gränssnitt för att skapa isolerade miljöer

Efter ett års utveckling har den nya versionen av verktyget för hantering av isolerade miljöer, Bubblewrap 0.9, publicerats. Detta verktyg används för att begränsa individuella applikationer för obehöriga användare. I praktiken används Bubblewrap av projektet Flatpak som ett lager för isolering av applikationer som körs från paket. Projektkoden är skriven i C och distribueras under LGPLv2+-licensen.

För isolering används traditionella Linux-teknologier för containervirtualisering, baserade på användning av cgroups, namnrymder (namespaces), Seccomp och SELinux. För att utföra privilegierade operationer för att konfigurera containern körs Bubblewrap med root-rättigheter (exekverbara filer med suid-flagga) och återställer privilegierna efter att containern har initierats.

Aktivering av användarnamnrymd (user namespaces) i systemet, vilket möjliggör användning av en separat uppsättning identiteter inom containrar, krävs inte för drift, eftersom den inte är aktiverad som standard i många distributioner (Bubblewrap positioneras som en begränsad suid-implementation av ett urval av funktionerna i användarnamnrymder — för att utesluta alla användar- och processidentiteter från miljön, förutom den aktuella, används lägena CLONE_NEWUSER och CLONE_NEWPID). För extra skydd körs program som körs under Bubblewrap i läget PR_SET_NO_NEW_PRIVS, som förhindrar förvärv av nya privilegier, till exempel när det finns en setuid-flagga.

Isoleringen på filsystemsnivå sker genom att skapa ett nytt namnrymd för montering (mount namespace) som standard, där ett tomt rotpartition skapas med tmpfs. I detta partition monteras externa filsystem vid behov i läget "mount —bind" (till exempel, vid körning med alternativet "bwrap —ro-bind /usr /usr" kopplas /usr från huvudsystemet i skrivskyddat läge). Nätverksmöjligheterna begränsas till åtkomst till loopback-gränssnittet med isolering av nätverksstacken via flaggorna CLONE_NEWNET och CLONE_NEWUTS.

Den avgörande skillnaden från det liknande projektet Firejail, som också använder en setuid-baserad körmodell, är att Bubblewrap:s lager för att skapa containrar endast inkluderar nödvändiga minimimöjligheter. Alla utökade funktioner som krävs för att köra grafiska applikationer, interagera med skrivbordet och filtrera anrop till Pulseaudio hanteras av Flatpak och utförs efter att privilegier har avlägsnats. Firejail å sin sida samlar alla tillhörande funktioner i en enda körbar fil, vilket försvårar granskningen och att bibehålla säkerhetsnivån.

I den nya utgåvan:

• Filerna som genererades av Autotools har tagits bort från paketet med källkoder. För att bygga rekommenderas nu att använda byggsystemet Meson. Stödet för Autotools är kvar för tillfället, men planeras att tas bort i framtida versioner.
• En ny option "—argv0" har lagts till för att ställa in värdet för det första kommandoradsargumentet (argv[0] — namnet på den körbara filen, till exempel "—argv0 /usr/bin/test").
• Alternativet "—symlink" aktiveras nu endast när den symboliska länken redan finns och pekar på den avsedda målfilen.
• Alternativet "—cap-add" har dokumenterats, vilket används för att ställa in capability-flaggor, till exempel "CAP_DAC_READ_SEARCH".
• Felmeddelandena som visas vid monteringsfel har blivit mer informativa.
• Processen för att skapa enhetstester har förenklats.
• Stöd för gamla versioner av Python har tagits bort i användningsexemplen.
• Minnesslotsoperationer har förbättrats.

Källa: opennet.ru