ื ืืขืืืื ื ืคืื ืืืฉืืจืื ืคึฟืึทืจ ืึธืจืืึทื ืืืืื ื ืื ืึทืจืืขื ืคืื ืืคืืขืืื ืืขืจื ืื ืืืืืจืึทื ืืึทื ืฅ Bubblewrap 0.8 ืืื ืื ืืืฆื, ืืืืฉืึทืืืึทืื ืืขื ืืฆื ืฆื ืืึทืืจืขื ืขืฆื ืืืื ืึทืคึผืืึทืงืืืฉืึทื ื ืคืื ืึทื ืคึผืจืืืืืืึทืืืฉื ื ืืฆืขืจืก. ืืื ืคืืจ, Bubblewrap ืืื ืืขื ืืฆื ืืืจื ืื Flatpak ืคึผืจืืืขืงื ืืื ืึท ืฉืืืืข ืฆื ืืืึธืืืจื ืึทืคึผืืึทืงืืืฉืึทื ื ืืึธื ืืฉื ืคึฟืื ืคึผืึทืงืึทืืืฉืึทื. ืื ืคึผืจืืืขืงื ืงืึธื ืืื ืืขืฉืจืืื ืืื C ืืื ืืื ืคืื ืื ืืขืจืืขืืืืื ืืื ืืขืจ ืื LGPLv2+ ืืขืจืืืืืขื ืืฉ.
ืคึฟืึทืจ ืืคืืขืืื ืืขืจืืงืืื, ืืจืืืืฆืืื ืขืื ืืื ืืงืก ืงืึทื ืืืื ืขืจ ืืืืจืืืึทืืืืึทืืืึธื ืืขืงื ืึทืืึทืืืฉืื ืืขื ืขื ืืขื ืืฆื, ืืืืืจื ืืืืฃ ืื ื ืืฆื ืคืื ืงืืจืืคึผืก, ื ืึทืืขืกืคึผืึทืกืขืก, Secomp ืืื SELinux. ืฆื ืืืจืืคืืจื ืคึผืจืืืืืืืืฉื ืึทืคึผืขืจืืืฉืึทื ื ืฆื ืงืึทื ืคืืืืขืจ ืึท ืงืึทื ืืืื ืขืจ, Bubblewrap ืืื ืืึธื ืืฉื ืืื ืืืึธืจืฆื ืจืขืื (ืึทื ืขืงืกืขืงืืืึทืืืข ืืขืงืข ืืื ืึท ืกืืื ืคืึธื) ืืื ืืขืืึธืื ืจืืกืขืฅ ืคึผืจืืืืืืึทืืืฉืึทื ื ืึธื ืืขื ืงืึทื ืืืื ืขืจ ืืื ืื ืืฉืึทืืืืื.
ืึทืงืืึทืืืืืฉืึทื ืคืื ืืึทื ืืฆืขืจ ื ืึทืืขืกืคึผืึทืกืขืก ืืื ืื ื ืึทืืขืกืคึผืึทืกืข ืกืืกืืขื, ืืืึธืก ืึทืืึทืื ืืืจ ืฆื ื ืืฆื ืืืื ืืืืืขื ืข ืืึทืืื ืืขืจ ืืึทื ื ืคืื ืืืืขื ืืืคืืฆืืจื ืืื ืงืึทื ืืืื ืขืจื, ืืื ื ืืฉื ืคืืจืืื ืื ืคึฟืึทืจ ืึธืคึผืขืจืึทืฆืืข, ืืืืึทื ืขืก ืึทืจืืขื ื ืืฉื ืืืจื ืคืขืืืงืืึทื ืืื ืคืืืข ืืืกืืจืืืืืฉืึทื ื (Bubblewrap ืืื ืคึผืึทืืืฉืึทื ื ืืื ืึท ืืืืืืขื ืกืืื ืืืคึผืืึทืืขื ืืืืฉืึทื ืคืื ืึท ืกืืืกืขื ืคืื ืืึทื ืืฆืขืจ ื ืึทืืขืกืคึผืึทืกืขืก ืงืืืคึผืึทืืืืึทืืื - ืฆื ืืืกืฉืืืกื ืึทืืข ืืึทื ืืฆืขืจ ืืื ืคึผืจืึธืฆืขืก ืืืขื ืืืคืืขืจืก ืคืื ืื ืกืืืืืืข, ืึทืืืฅ ืืขื ืงืจืึทื ื, ืื CLONE_NEWUSER ืืื CLONE_NEWPID ืืึธืืขืก ืืขื ืขื ืืขื ืืฆื). ืคึฟืึทืจ ื ืึธื ืฉืืฅ, ืืืืื ืขืงืกืึทืงืืืืึทื ืืื ืืขืจ Bubblewrap ืืขื ืขื ืืึธื ืืฉื ืืื ืื PR_SET_NO_NEW_PRIVS ืืึธืืข, ืืืึธืก ืคึผืจืึธืืืืืึทืฅ ืื ืึทืงืืืึทืืืฉืึทื ืคืื ื ืืึท ืคึผืจืืืืืืึทืืืฉืึทื, ืืืฉื, ืืืื ืื ืกืขืืืื ืคืึธื ืืื ืคืึธืจืฉืืขืื.
ืืคืืขืืื ืืขืจืืงืืื ืืื ืืขืจ ืืขืงืข ืกืืกืืขื ืืืจืื ืืื ืืืจืืืขืงืึธืื ืืืจื ืงืจืืืืืื ื ืึท ื ืืึท ืึธื ืงืืึทืคึผื ื ืึทืืขืกืคึผืึทืกืข ืืืจื ืคืขืืืงืืึทื, ืืื ืืืึธืก ืึท ืืืืืืง ืืืึธืจืฆื ืฆืขืืืืืื ื ืืื ืืืฉืืคื ืืื tmpfs. ืืืื ื ืืืืืง, ืคืื ืืจืืืกื ืืืง FS ืคึผืึทืจืืืฉืึทื ื ืืขื ืขื ืึทืืึทืืฉื ืฆื ืืขื ืฆืขืืืืืื ื ืืื ืื "ืืืจื -ืืื ืื" ืืึธืืข (ืืืฉื, ืืืขื ืืึธื ืืฉื ืืื ืื "bwrap -ro-bind /usr /usr" ืึธืคึผืฆืืข, ืื /usr ืฆืขืืืืืื ื ืืื ืคืึธืจืืืขืจืืื ืคึฟืื ืื ืืืืคึผื ืกืืกืืขื ืืื ืืืื ืขื-ืืืืื ืืึธืืข). ื ืขืฅ ืงืืืคึผืึทืืืืึทืืื ืืขื ืขื ืืืืืืขื ืฆื ืึทืงืกืขืก ืฆื ืื ืืืคึผืืึทืงืง ืฆืืืื ื ืืื ื ืขืฅ ืึธื ืืืืื ืืคืืขืืื ืืขืจืืงืืื ืืืจื ืื CLONE_NEWNET ืืื CLONE_NEWUTS ืคืืึทืืก.
ืืขืจ ืฉืืืกื ืืืืืง ืคืื ืื ืขื ืืขื Firejail ืคึผืจืืืขืงื, ืืืึธืก ืืืื ื ืืฆื ืื ืกืขืืืื ืงืึทืืขืจ ืืึธืืขื, ืืื ืึทื ืืื Bubblewrap ืื ืงืึทื ืืืื ืขืจ ืฉืืืืข ืฉืืืืข ืื ืงืืืื ืืืืื ืื ื ืืืืืง ืืื ืืืื ืงืืืคึผืึทืืืืึทืืื, ืืื ืึทืืข ืื ืึทืืืึทื ืกืืจืืข ืคืึทื ืืงืฉืึทื ื ื ืืืืืง ืคึฟืึทืจ ืคืืืกื ืืืง ืืจืึทืคืืงืก ืึทืคึผืืึทืงืืืฉืึทื ื, ืื ืืขืจืึทืงืืื ื ืืื ืื ืืขืกืงืืึทืคึผ ืืื ืคืืืืขืจ ืจืืงืืืขืก. ืฆื Pulseaudio, ืืจืึทื ืกืคืขืจื ืฆื ืื ืคืืึทืืคึผืึทืง ืืืึทื ืืื ืขืงืกืึทืงืืืืึทื ื ืึธื ืื ืคึผืจืืืืืืึทืืืฉืึทื ืืขื ืขื ืืึทืฉืืขืืืง. Firejail, ืืืืฃ ืื ืื ืืขืจืข ืืึทื ื, ืงืึทืืืืื ื ืึทืืข ืื ืคึฟืึทืจืืื ืืขื ืข ืคืึทื ืืงืฉืึทื ื ืืื ืืืื ืขืงืกืขืงืืืึทืืืข ืืขืงืข, ืืืึธืก ืืืื ืขืก ืฉืืืขืจ ืฆื ืงืึธื ืืจืึธืืืจื ืืื ืืึทืืื ืืืืขืจืืืื ืืืืฃ ืื ืืขืืขืจืืง ืืืจืื.
ืืื ืื ื ืืึทืข ืืขืืืื ื:
- ะะพะฑะฐะฒะปะตะฝะฐ ะพะฟัะธั ยซโdisable-usernsยป ะพัะบะปััะฐััะฐั ัะพะทะดะฐะฝะธะต ะฒ sandbox-ะพะบััะถะตะฝะธะธ ัะฒะพะตะณะพ ะฒะปะพะถะตะฝะฝะพะณะพ ะฟัะพัััะฐะฝััะฒะฐ ะธะดะตะฝัะธัะธะบะฐัะพัะพะฒ ะฟะพะปัะทะพะฒะฐัะตะปะตะน (user namespace).
- ะะพะฑะฐะฒะปะตะฝะฐ ะพะฟัะธั ยซโassert-userns-disabledยป ะดะปั ะฟัะพะฒะตัะบะธ, ััะพ ะฟัะธ ะธัะฟะพะปัะทะพะฒะฐะฝะธะธ ะพะฟัะธะธ ยป โdisable-usernsยป ะทะฐะดะตะนััะฒะพะฒะฐะฝะพ ัััะตััะฒัััะตะต ะฟัะพัััะฐะฝััะฒะพ ะธะดะตะฝัะธัะธะบะฐัะพัะพะฒ ะฟะพะปัะทะพะฒะฐัะตะปะตะน.
- ะะพะฒััะตะฝะฐ ะธะฝัะพัะผะฐัะธะฒะฝะพััั ัะพะพะฑัะตะฝะธะน ะพะฑ ะพัะธะฑะบะฐั , ัะฒัะทะฐะฝะฝัั ั ะพัะบะปััะตะฝะธะตะผ ะฒ ัะดัะต ะฝะฐัััะพะตะบ CONFIG_SECCOMP ะธ CONFIG_SECCOMP_FILTER.
ืืงืืจ: opennet.ru