Toleo jipya la Bubblewrap 0.12, chombo cha kupanga mazingira yaliyotengwa, limechapishwa. Linatumika kuzuia programu za kibinafsi kwa watumiaji wasio na upendeleo. Kiutendaji, Bubblewrap hutumiwa na mradi wa Flatpak kama safu ya kutenga programu zinazozinduliwa kutoka kwa vifurushi. Mbinu za kitamaduni za kutenga hutumika kwa kusudi hili. Linux teknolojia za uboreshaji wa kontena kulingana na matumizi ya vikundi vya c, nafasi za majina, Seccomp na SELinuxMsimbo wa mradi umeandikwa kwa C na kusambazwa chini ya leseni ya LGPLv2.1+.
Kutengwa katika kiwango cha mfumo wa faili kunakamilishwa kwa kuunda nafasi mpya ya jina kwa chaguo-msingi, ambapo mgawanyiko wa mizizi tupu huundwa kwa kutumia tmpfs. Ikihitajika, sehemu za nje za FS zimeambatishwa kwenye kizigeu hiki katika hali ya "mount -bind" (kwa mfano, inapozinduliwa na chaguo la "bwrap -ro-bind /usr /usr", kizigeu cha /usr kinatumwa kutoka kwa mfumo mkuu. katika hali ya kusoma tu). Uwezo wa mtandao una mipaka ya kufikia kiolesura cha nyuma kwa kutengwa kwa rafu ya mtandao kupitia CLONE_NEWNET na bendera za CLONE_NEWUTS.
Ili kuondoa vitambulisho vyote visivyo vya lazima vya mtumiaji na michakato kutoka kwa mazingira yaliyotengwa yaliyoundwa, hali za CLONE_NEWUSER (nafasi ya jina la mtumiaji) na CLONE_NEWPID (nafasi ya jina la PID) zinaweza kutumika, na hali ya PR_SET_NO_NEW_PRIVS hutumika kuzuia upatikanaji wa haki mpya. "Nafasi ya jina la mtumiaji" hutumika kupata haki zinazohitajika.
Katika toleo jipya:
- Leseni ya msimbo imebadilishwa kutoka LGPL 2.0+ hadi LGPL 2.1+.
- Usaidizi wa kujenga kama faili inayoweza kutekelezwa ambayo hupata marupurupu ya ziada kwa kutumia alama ya mzizi wa suid umesitishwa. Usaidizi wa "nafasi ya jina la mtumiaji" sasa ni wa lazima. Sababu iliyotajwa ni ugumu wa kudumisha alama ya suid, kutokana na usaidizi ulioenea wa "nafasi ya jina la mtumiaji" katika usambazaji.
- Imeongeza chaguo la "--sio-mpaka-wa-usalama", ambalo, linapowekwa, huzuia hitilafu fulani wakati wa kuweka mazingira ya sanduku la mchanga lililotengwa, kama vile kupachika upya kitufe kidogo, kutokana na kusababisha ajali.
- Imeongeza chaguo la ujenzi "assume_kernel" ili kuzima utangamano wa nyuma na kernels Linux, ya zamani zaidi kuliko toleo lililobainishwa. Kwa mfano, kubainisha matoleo 5.6.0+ kutaondoa utekelezaji mbadala wa utendaji kazi wa "openat2(RESOLVE_IN_ROOT)".
Chanzo: opennet.ru
