URL: https://www.opennet.dev/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 135193
[ Назад ]
Исходное сообщение
"Выпуск Bubblewrap 0.11, прослойки для создания изолированных окружений "
Отправлено opennews , 31-Окт-24 16:19 
Опубликована новая версия инструментария для организации работы изолированных окружений Bubblewrap 0.11, используемого для ограничения отдельных приложений непривилегированных пользователей. На практике Bubblewrap применяется проектом Flatpak в качестве прослойки для изоляции запускаемых из пакетов приложений. Для изоляции используются традиционные для Linux технологии контейнерной виртуализации, основанные на использовании cgroups, пространств имён (namespaces), Seccomp и SELinux.  Код проекта написан на языке Си и распространяется под лицензией  LGPLv2+...

Подробнее: https://www.opennet.dev/opennews/art.shtml?num=62149

Содержание
Сообщения в этом обсуждении
"Выпуск Bubblewrap 0.11, прослойки для создания изолированных..."
Отправлено Аноним , 31-Окт-24 16:19 
Как вообще можно говорить о безопасности (изоляции), когда "Код проекта написан на языке Си"?
"Выпуск Bubblewrap 0.11, прослойки для создания изолированных..."
Отправлено BeLord , 31-Окт-24 16:27 
Ничто не мешает писать безопасный код, что на С, что на asm, все упирается в кривизну рук, конкретного разработчика.
"Выпуск Bubblewrap 0.11, прослойки для создания изолированных..."
Отправлено anominus , 31-Окт-24 16:33 
не конкретного разработчика, а ВСЕХ чей код используется в проекте
"Выпуск Bubblewrap 0.11, прослойки для создания изолированных..."
Отправлено Аноним , 31-Окт-24 17:50 
Истинно. Поэтому у меня нет соавторов.
"Выпуск Bubblewrap 0.11, прослойки для создания изолированных..."
Отправлено Аноним , 31-Окт-24 17:00 
Так неймспейсы - часть ядра, онг на с.

Тут без вариантов)

"Выпуск Bubblewrap 0.11, прослойки для создания изолированных..."
Отправлено Соль земли , 31-Окт-24 16:44 
Также, как и всегда: никак.
"Выпуск Bubblewrap 0.11, прослойки для создания изолированных..."
Отправлено OpenEcho , 31-Окт-24 17:38 
> Как вообще можно говорить о безопасности (изоляции), когда "Код проекта написан на языке Си"?

Логика у народа блин, ну просто прет....

Програмист, который публичо топит за безопастный язык И o6сирaет то, что юзает в данный момент, - просто публично признается, что писать безопасный код он просто не умеет, потому он и юзает прослойки над опкодами, надеясь что прослойко деятели защитят его, а он будет ходить и размахивать флажком - какой же он крутой и безошибочный.

Вы господа, уже так мягко говоря за... колебали, детский сад...

"Выпуск Bubblewrap 0.11, прослойки для создания изолированных..."
Отправлено Аноним , 31-Окт-24 18:27 
>просто публично признается, что писать безопасный код он просто не умеет
>он будет ходить и размахивать флажком - какой же он крутой и безошибочный

Я, например, размахиваю флажком, что я некрутой и ошибочный - человек обычный с аналоговыми мозгами, которые регулярно фейлят. И я бы хотел использовать инструмент, который избавит мою работу от моего несовершенства - так и мне спать спокойнее, и пользователям.

"Выпуск Bubblewrap 0.11, прослойки для создания изолированных..."
Отправлено OpenEcho , 01-Ноя-24 13:48 
>>просто публично признается, что писать безопасный код он просто не умеет
>>он будет ходить и размахивать флажком - какой же он крутой и безошибочный
> Я, например, размахиваю флажком, что я некрутой и ошибочный - человек обычный
> с аналоговыми мозгами, которые регулярно фейлят. И я бы хотел использовать
> инструмент, который избавит мою работу от моего несовершенства - так и
> мне спать спокойнее, и пользователям.

Так и я тоже не святоша и делаю ошибки как и другие, и которые впрочем на расте, но орать то на каждом шагу на прародителя что оно омно, не по человечески это, низко, тем более от всех ошибок ни раст , ни Го, ни другие "безопастные" все равно не защитят. Другой просто уровень ошибок

"Выпуск Bubblewrap 0.11, прослойки для создания изолированных..."
Отправлено Аноним , 31-Окт-24 17:56 
бубльврап - это прослойка над сисколами. Там большинство кода - просто парсинг командной строки.
"Выпуск Bubblewrap 0.11, прослойки для создания изолированных..."
Отправлено Аноним , 31-Окт-24 18:01 
код на чем угодно + тестировщик который деньгами отвечает за качество = обширные тест планы и тест кейсы которые дают такое же качество, только гораздо дешевле по деньгам и по времени, чем какой нибудь rust или что угодно другое
"Выпуск Bubblewrap 0.11, прослойки для создания изолированных..."
Отправлено Аноним , 31-Окт-24 18:30 
Осталось только пленить такого тестировщика.
"Выпуск Bubblewrap 0.11, прослойки для создания изолированных..."
Отправлено Ананоним , 31-Окт-24 18:21 
Как вообще можно говорить о безопасности и изоляции, когда код исполняется на "дырявых" процессорах x86?
"Выпуск Bubblewrap 0.11, прослойки для создания изолированных..."
Отправлено _ , 31-Окт-24 18:52 
>Как вообще можно говорить о безопасности (изоляции), когда "Код проекта написан на языке Си"?

Рекомендую переписать на языке rust - у него безопасТная работа с памятью !

Ну как переписать ... начать переписывать! C0C там в гитхуб закинуть и странциу с донатами :)

"Выпуск Bubblewrap 0.11, прослойки для создания изолированных..."
Отправлено Аноним , 31-Окт-24 18:24 
По описанию выглядит будто антивирус какой-то. Работать может и работает, но требует пожизненных доработок, затыканий всевозможных дырок и не гарантирует 100% надежности, что приложение не вылезет за пределы контейнера.
"Выпуск Bubblewrap 0.11, прослойки для создания изолированных..."
Отправлено Аноним , 31-Окт-24 21:12 
Это больше про неймспейсы комент, чем про сабж.
"Выпуск Bubblewrap 0.11, прослойки для создания изолированных..."
Отправлено Аноним , 31-Окт-24 21:14 
Это не контейнер, там ядрёные пространства имён. Почти бесплатная изоляция - то что нужно для запуска ПО с открытым исходным кодом.
А 100% надежности не гарантирует даже гипервизор.
"Выпуск Bubblewrap 0.11, прослойки для создания изолированных..."
Отправлено Анониссимус , 01-Ноя-24 23:27 
100% надёжности не даст даже отдельный компьютер, отключённый от сети. Поэтому да, контейнерная изоляция -- разумный компромисс по защищённости, производительности и удобству.
"Выпуск Bubblewrap 0.11, прослойки для создания изолированных..."
Отправлено Аноним , 31-Окт-24 21:10 
> OverlayFS

Аллилуя!

"Выпуск Bubblewrap 0.11, прослойки для создания изолированных..."
Отправлено onanim , 31-Окт-24 22:57 
кто сравнивал с Firejail, что из этого удобнее?
я пока что пользуюсь вторым, но его настройка - это боль.
"Выпуск Bubblewrap 0.11, прослойки для создания изолированных..."
Отправлено Аноним , 31-Окт-24 23:55 
Firejail - это готовое решение. Если его настройка - "боль", то bwrap лучше вообще не трогать, он не предназначен к использованию "AS IS".


"Выпуск Bubblewrap 0.11, прослойки для создания изолированных..."
Отправлено Аноним , 01-Ноя-24 00:33 
видел bwrap, какой-то разницы с fjail не ощутил.
"Выпуск Bubblewrap 0.11, прослойки для создания изолированных..."
Отправлено onanim , 01-Ноя-24 19:18 
> Firejail - это готовое решение. Если его настройка - "боль", то bwrap
> лучше вообще не трогать, он не предназначен к использованию "AS IS".

боль начинается, когда пытаешься запустить приложение, для которого нет готового профиля, там даже strace не всегда помогает понять, почему приложение дохнет.
плюс захардкоденные пути для whitelist (невозможно указать ничего кроме /home/ и /opt/), и, кажется, сами разрабы толком не понимают и не могут объяснить разницу между whitelist и noblacklist.
если у bubblewrap такие же приколы, то останусь с firejail.

"Выпуск Bubblewrap 0.11, прослойки для создания изолированных..."
Отправлено Вы забыли заполнить поле Name , 01-Ноя-24 18:39 
> но его настройка - это боль

В чем боль? Если про Настройки для конкретных приложений, то есть готовые профили.

"Выпуск Bubblewrap 0.11, прослойки для создания изолированных..."
Отправлено onanim , 01-Ноя-24 19:18 
>> но его настройка - это боль
> В чем боль? Если про Настройки для конкретных приложений, то есть готовые
> профили.

https://www.opennet.me/openforum/vsluhforumID3/135193.html#26

"Выпуск Bubblewrap 0.11, прослойки для создания изолированных..."
Отправлено Аноним , 01-Ноя-24 03:09 
>Прекращена поддержка сборочной системы Autotools. Для сборки теперь необходим инструментарий Meson.

Теперь бублвсрат и подавно не нужен.

"Выпуск Bubblewrap 0.11, прослойки для создания изолированных..."
Отправлено Анониссимус , 01-Ноя-24 23:29 
А как ты коммент то написал? Браузер то, поди, тоже не автотулзами собирается...
"Выпуск Bubblewrap 0.11, прослойки для создания изолированных..."
Отправлено Аноним , 02-Ноя-24 03:43 
Судить о проекте по системе сборки, мда. Вы не таролог, случайно?