{"id":101071,"date":"2021-08-21T16:22:59","date_gmt":"2021-08-21T14:22:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bubblewrap-0-5-0-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij"},"modified":"2021-08-21T16:22:59","modified_gmt":"2021-08-21T14:22:59","slug":"vypusk-bubblewrap-0-5-0-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/vypusk-bubblewrap-0-5-0-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","title":{"rendered":"Utgivning av Bubblewrap 0.5.0, ett lager f\u00f6r att skapa isolerade milj\u00f6er","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Utg\u00e5van av verktyget f\u00f6r att organisera arbete i isolerade milj\u00f6er Bubblewrap 0.5.0 \u00e4r nu tillg\u00e4nglig, som vanligtvis anv\u00e4nds f\u00f6r att begr\u00e4nsa individuella applikationer av icke-privilegierade anv\u00e4ndare. I praktiken anv\u00e4nds Bubblewrap av projektet Flatpak som ett lager f\u00f6r isolering av applikationer som k\u00f6rs fr\u00e5n paket. Projektets kod \u00e4r skriven i C och distribueras under LGPLv2+-licensen. <\/p>\n
F\u00f6r isolering anv\u00e4nds traditionella Linux-teknologier f\u00f6r containervirtualisering, baserade p\u00e5 anv\u00e4ndning av cgroups, namnrymder (namespaces), Seccomp och SELinux. F\u00f6r att utf\u00f6ra privilegierade operationer f\u00f6r att konfigurera containern k\u00f6rs Bubblewrap med root-r\u00e4ttigheter (exekverbara filer med suid-flagga) och \u00e5terst\u00e4ller privilegierna efter att containern har initierats. <\/p>\n
Aktivering i systemet f\u00f6r anv\u00e4ndarnamnrymder (user namespaces) som g\u00f6r det m\u00f6jligt att anv\u00e4nda ett eget separat sett av identifierare i containrar kr\u00e4vs inte f\u00f6r att fungera, d\u00e5 det som standard inte fungerar i m\u00e5nga distributioner (Bubblewrap marknadsf\u00f6rs som en begr\u00e4nsad suid-implementering av ett underkomplex av funktionerna hos anv\u00e4ndarnamnrymder — f\u00f6r att utesluta alla anv\u00e4ndar- och processidentifierare fr\u00e5n milj\u00f6n, f\u00f6rutom den aktuella, anv\u00e4nds l\u00e4gena CLONE_NEWUSER och CLONE_NEWPID). F\u00f6r ytterligare skydd k\u00f6rs program som k\u00f6rs under Bubblewrap i l\u00e4get PR_SET_NO_NEW_PRIVS, vilket f\u00f6rhindrar att nya privilegier erh\u00e5lls, till exempel n\u00e4r setuid-flaggan \u00e4r aktiverad. <\/p>\n
Isolering p\u00e5 filsystemniv\u00e5 g\u00f6rs genom att skapa ett nytt monteringsnamnrymde (mount namespace) som standard, d\u00e4r ett tomt rotpartition skapas med hj\u00e4lp av tmpfs. Vid behov monteras partitioner av extern filsystem i l\u00e4get 'mount \u2014bind' (till exempel, n\u00e4r c k\u00f6rs med alternativet 'bwrap \u2014ro-bind \/usr \/usr' \u00f6verf\u00f6rs partitionen \/usr fr\u00e5n det huvudsystemet i skrivskyddat l\u00e4ge). N\u00e4tverksm\u00f6jligheter begr\u00e4nsas till \u00e5tkomst till loopback-gr\u00e4nssnittet med isolering av n\u00e4tverksstacken via flaggorna CLONE_NEWNET och CLONE_NEWUTS. <\/p>\n
Den avg\u00f6rande skillnaden fr\u00e5n det liknande projektet Firejail, som ocks\u00e5 anv\u00e4nder en setuid-baserad k\u00f6rmodell, \u00e4r att Bubblewrap:s lager f\u00f6r att skapa containrar endast inkluderar n\u00f6dv\u00e4ndiga minimim\u00f6jligheter. Alla ut\u00f6kade funktioner som kr\u00e4vs f\u00f6r att k\u00f6ra grafiska applikationer, interagera med skrivbordet och filtrera anrop till Pulseaudio hanteras av Flatpak och utf\u00f6rs efter att privilegier har avl\u00e4gsnats. Firejail \u00e5 sin sida samlar alla tillh\u00f6rande funktioner i en enda k\u00f6rbar fil, vilket f\u00f6rsv\u00e5rar granskningen och att bibeh\u00e5lla s\u00e4kerhetsniv\u00e5n. <\/p>\n
I den nya versionen erbjuds alternativ: «—chmod» f\u00f6r att \u00e4ndra \u00e5tkomstr\u00e4ttigheter, «—clearenv» f\u00f6r att rensa milj\u00f6variabler (utom PWD) och «—perms» f\u00f6r att best\u00e4mma de \u00e5tkomstr\u00e4ttigheter som till\u00e4mpas vid utf\u00f6rande av operationerna «—bind-data», «—dir», «—file», «—ro-bind-data» och «—tmpfs». Diagnostik f\u00f6r problem som uppst\u00e5r vid bind-montering har f\u00f6rb\u00e4ttrats. F\u00f6r zsh har st\u00f6d f\u00f6r autocompletions via tabulatortangenten lagts till. \n K\u00e4lla: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"