The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



"Выпуск Bubblewrap 0.8, прослойки для создания изолированных окружений "
Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Изначальное сообщение [ Отслеживать ]

"Выпуск Bubblewrap 0.8, прослойки для создания изолированных окружений "  +/
Сообщение от opennews (??), 28-Фев-23, 09:22 
Доступен выпуск инструментария для организации работы изолированных окружений Bubblewrap 0.8, как правило используемый для ограничения отдельных приложений непривилегированных пользователей. На практике Bubblewrap применяется проектом Flatpak в качестве прослойки для изоляции запускаемых из пакетов приложений.  Код проекта написан на языке Си и распространяется под лицензией  LGPLv2+...

Подробнее: https://www.opennet.me/opennews/art.shtml?num=58721

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения [Сортировка по времени | RSS]


1. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +3 +/
Сообщение от Аноним (-), 28-Фев-23, 09:22 
флатпаки и прочее явно не панацея от поломанных зависимостей
Ответить | Правка | Наверх | Cообщить модератору

9. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +4 +/
Сообщение от SkylerX (ok), 28-Фев-23, 09:52 
Случай, когда во flatpak зависимости ломаются приведешь? Или ты так, набросить?
Ответить | Правка | Наверх | Cообщить модератору

17. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +1 +/
Сообщение от Аноним (17), 28-Фев-23, 10:21 
Когда тебе надо откатится на старую версию софта во флатпаке. Для это надо зайти в лог коммитов и откатится на один из коммитов, но выясняется что он хранит только последние 10 коммитов. А если ты даже знаешь номер старого коммита то ты откатится на него не можешь.  
Ответить | Правка | Наверх | Cообщить модератору

20. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +/
Сообщение от Аноним (20), 28-Фев-23, 10:37 
Но ведь это уже не про зависимости, а плохую особенность флатпака
Ответить | Правка | Наверх | Cообщить модератору

26. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +1 +/
Сообщение от Аноним (17), 28-Фев-23, 11:43 
Если ты от старой версии зависишь, то проблема сразу становится про зависимости)
Ответить | Правка | Наверх | Cообщить модератору

43. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +1 +/
Сообщение от Аноним (43), 28-Фев-23, 19:12 
Пользуйся Nix, там такой проблемы нет в принципе.
Ответить | Правка | К родителю #17 | Наверх | Cообщить модератору

45. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +2 +/
Сообщение от BrainFucker (ok), 28-Фев-23, 20:48 
> Когда тебе надо откатится на старую версию софта во флатпаке.

Это что, в этих "супер-пупер" пакетных менеджерах по прежнему нельзя установить параллельно разные версии одного и того же софта? Мда, а дифирамбов-то этим блоатваре сколько было...

Ответить | Правка | К родителю #17 | Наверх | Cообщить модератору

30. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +1 +/
Сообщение от AlexYeCy_not_logged (?), 28-Фев-23, 12:17 
>Случай, когда во flatpak зависимости ломаются приведешь?

А этот твой flatpak он что, заговорённый?
Так-то там тоже зависимости есть. И от принципа «всё своё ношу с собой» разрабы flatpak собираются отказываться уж не первый год как: оказывается, если таких пакетов в системе не два — три, то вопрос экономии дискового пространства становится весьма актуальным. Одно дело, когда две или три программулины весом до ста метров занимают по полтора — два гига (а то и больше) каждая, другое дело, когда таких программулин надо установить штук 30, да ещё предусмотреть место для бэкапа корня. И вот чтобы с этим бороться, собираются применять (не начали ещё?) разделяемые среды. Ну т.е объединить все возможные минусы от смешения нескольких подходов, как нынче модно.

Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

59. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +/
Сообщение от Shevchuk (ok), 02-Мрт-23, 19:15 
Вы про это?

> unbuffer flatpak list | rg -i platform

Freedesktop Platform                      org.freedesktop.Platform               21.08.18                          
Freedesktop Platform                      org.freedesktop.Platform               22.08.8                          
Mesa                                      org.freedesktop.Platform.GL.default    21.3.9                            
Mesa                                      org.freedesktop.Platform.GL.default    22.3.5                            
Mesa (Extra)                              org.freedesktop.Platform.GL.default    22.3.5                            
Mesa git snapshot                         org.freedesktop.Platform.GL.mesa-git   23.0-branchpoint-2174-ge7c5a8b3f8f
ffmpeg-full                               org.freedesktop.Platform.ffmpeg-full                                    
ffmpeg-full                               org.freedesktop.Platform.ffmpeg-full                                    
openh264                                  org.freedesktop.Platform.openh264      2.1.0                            
openh264                                  org.freedesktop.Platform.openh264      2.1.0                            
openh264                                  org.freedesktop.Platform.openh264      2.1.0                            
GNOME Application Platform version 42     org.gnome.Platform                                                      
GNOME Application Platform version 43     org.gnome.Platform                                                      
KDE Application Platform                  org.kde.Platform                                                        
KDE Application Platform                  org.kde.Platform

Довольно удобно: например, если есть баг в работе приложения с платформой/драйвером, я спокойно могу сказать использовать другую, ничего не меняя в приложении или системе

flatpak run --runtime-version=21.08 <app>
— и всё будет работать (а остальные приложения продолжат работать со своей дефолтной платформой). Встроенными средствами дистрибутива мне бы пришлось откатывать, условно, драйвера для всей системы. Нормально без флатпака такое наверное могут только nix/guix.
Ответить | Правка | Наверх | Cообщить модератору

16. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +/
Сообщение от Аноним (16), 28-Фев-23, 10:13 
Они же зависят только от общего для всех контейнеров bundle. И ABI не меняется какое-то время. Даже между дистрибутивами.

Почем панацея и что тогда панацея?

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

21. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  –1 +/
Сообщение от Прохожий (??), 28-Фев-23, 10:42 
А зависимости зло-))) Не вижу проблем в составе дистрибутива софта иметь все необходимые ему компоненты, место на винте, давно не актуальный параметр
Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

31. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +3 +/
Сообщение от AlexYeCy_not_logged (?), 28-Фев-23, 12:24 
>место на винте, давно не актуальный параметр

Если оно терабайтами будет жраться, то это станет проблемой для очень и очень многих. а уж если речь не про десктоп, и не про сервер, то и подавно. Нужны бэкапы — добавляй к проблемам множитель.
К тому же, распухший / это не только сожранное место на дисках. Вот у меня раньше система была на разделе в  30 гигов. Раньше — это ещё лет 5 назад. Потом 50, теперь 100. И ладно место, но оно теперь побайтово копируется на nas и обратно в разы дольше. И да, три flatpak-а (которые содержат софт, раньше вполне себе устанавливающийся из системных реп) тут тоже сыграли роль, причём заметную. Прибавила ли моя система в функционале, удобстве и прочем в связи с ростом занимаемого пространства? Нет.

Ответить | Правка | Наверх | Cообщить модератору

42. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  –1 +/
Сообщение от Аноним (43), 28-Фев-23, 19:12 
Расскажи, что там у тебя в системе на 30, 50, и даже 100 гигов? Прон заныканный от мамки в /var/lib/cache? Не считая полтора терабайта пользовательских данных, система с кучей внутренних сервисов и системой сборки занимает 14 гигов. Декстоп с GNOME — 8,5, включая снапшоты. Как ты на ста гигах поместиться не можешь — загадка века, но флатпак тут явно не при чём.
Ответить | Правка | Наверх | Cообщить модератору

44. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  –2 +/
Сообщение от Аноним (44), 28-Фев-23, 19:49 
Думаю, что у него там 100 Гб логов насобиралось
Ответить | Правка | Наверх | Cообщить модератору

48. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +1 +/
Сообщение от AlexYeCu_not_logged (?), 28-Фев-23, 21:30 
>Расскажи, что там у тебя в системе на 30, 50, и даже 100 гигов?

/usr 25+ Gib.
/var/lib/flatpak 5.5 GiB. 3 (три!) программулины. И почти 20% от прочего софта со всеми потрохами.
Весь остальной /var ­около 2 GiB.
/opt столько же.
Хомяк и тому подобное на других разделах.

Итого занято чуть больше полтинника. Плюс задел под обновление.

Ты вообще в курсе, как обновление с релиза на релиз происходит? Не, так-то можно и /opt куда-нибудь перемонтировать, и system-upgrade, и flatpak-помойку. Но это, знаешь ли, напрягает.

>Прон заныканный от мамки в /var/lib/cache?

Деточка, не надо проецировать на других. Если даже дяде оно и понадобится, у дяди быстрый интернет. И даже если пожилая мама приедет к дяде в гости, она один шут не сможет найти ни фильмы твоего любимого жанра, ни что-либо ещё, где бы это что-то ни находилось.  Дядя ей инструкции по очистке смс с кнопочного телефона регулярно пишет и телепрограммы настраивает.

>система с кучей внутренних сервисов и системой сборки занимает 14 гигов

Твоя система, дитя. Твоя.

Ответить | Правка | К родителю #42 | Наверх | Cообщить модератору

49. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +/
Сообщение от AlexYeCu_not_logged (?), 28-Фев-23, 21:33 
Ах да, ещё /share увесистый. Ну и swapfile динамический может разжиреть.
Ответить | Правка | Наверх | Cообщить модератору

66. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +/
Сообщение от Аноним (66), 03-Мрт-23, 22:45 
Для сравнения другой пример.

$ flatpak list --app |wc -l
124

$ flatpak list --runtime |wc -l
48

$ btrfs filesystem du -s /var/lib/flatpak
   Total   Exclusive  Set shared  Filename
22.34GiB    22.03GiB   257.19MiB  /var/lib/flatpak

За редкими исключениями, это почти все графическое прикладное ПО в системе, в том числе игры (Mindustry, Wesnoth и что-то ещё). Плюс, аудио- и видеокодеки, Wine и Proton-GE Runtime, SDK для языков программирования (LLVM, MinGW, Vala, Java, Dotnet, Rust, Golang).

Что в сравнении с твоим примером:
Количество программ ~ x40
Потребление места на диске ~ x4

Выводы делай сам. Меня устраивает.

--

Меня в Flathub'е куда больше беспокоит слабый контроль за тем кто, когда и как пакетирует. Нередко ПО обновляется с запозданиями, в сравнении с роллинг-дистрибутивами, а иногда даже на полгода-год. Часто пакеты пакетируют с устаревшими зависимостями или долго не обновляют рантайм, даже когда нет проблем с API/ABI, зато есть известные уязвимости в старом. Некоторые официальные поставщики ПО не вызывают доверия. Исполняемые файлы хранятся в ФС с привилегиями пользователя. Доступ программам в песочнице выдается довольно широко. Вкупе, озвученные проблемы создают дополнительные риски безопасности системы.

Ответить | Правка | К родителю #48 | Наверх | Cообщить модератору

50. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +/
Сообщение от Тот_Самый_Анонимус_ (?), 28-Фев-23, 22:17 
Не видь. Это не отменяет твоей слепоты, а не правоты.
Ответить | Правка | К родителю #21 | Наверх | Cообщить модератору

65. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +/
Сообщение от Аноним (66), 03-Мрт-23, 22:07 
Проблема не только в занимаемом месте на накопителе.

Ещё - в потреблении оперативной памяти, растущем с каждой запущенной программой, слинкованной со своими "неповторимыми" версиями общих зависимостей.

А самая большая проблема кроется в актуальности (обнаруженных уязвимостей для) зависимостей, исключить которую можно только своевременным, централизованным их обновлением.

Ответить | Правка | К родителю #21 | Наверх | Cообщить модератору

2. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +/
Сообщение от Аноним (2), 28-Фев-23, 09:25 
годная вещь
Ответить | Правка | Наверх | Cообщить модератору

3. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +1 +/
Сообщение от Аноним (3), 28-Фев-23, 09:27 
поясните я не совсем понял зачем оно
Ответить | Правка | Наверх | Cообщить модератору

10. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  –1 +/
Сообщение от SkylerX (ok), 28-Фев-23, 09:55 
Чтобы разработчику голову не забивать наборами библиотек дистрибутивов, которых миллион. Если работает флатпак значит 99.9% шанс, что будет работать содержимое flathub
Ответить | Правка | Наверх | Cообщить модератору

11. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  –3 +/
Сообщение от SkylerX (ok), 28-Фев-23, 09:58 
Ну и приятные плюшки для безопасности и стабильности за счет изоляции от системы
Ответить | Правка | Наверх | Cообщить модератору

13. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +1 +/
Сообщение от Аноним (13), 28-Фев-23, 10:00 
Ты имел в виду через жп работает и не возможно пользоваться? Большинство пользователей после этого удаляют линукс.
Ответить | Правка | К родителю #10 | Наверх | Cообщить модератору

18. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  –1 +/
Сообщение от Аноним (17), 28-Фев-23, 10:22 
В оффтопе и маке софт итак распространяется правильно им прослойки и контейнеры не нужны.  
Ответить | Правка | Наверх | Cообщить модератору

19. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +1 +/
Сообщение от Бывалый смузихлёб (?), 28-Фев-23, 10:36 
Насильно-"правильно". Просто отрубают то что не подходит - вот и всё.
Либо ставишь потом то что правильно, либо - сидишь без ПО
А ведь тот же новый  XCode  у яблока - это порядка 7 Гб установочника, который, не дай Боги, хотя бы единственную проблему словит в ходе скачивания - тогда всё заново
Ответить | Правка | Наверх | Cообщить модератору

24. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  –1 +/
Сообщение от Аноним (16), 28-Фев-23, 11:21 
Но вы же всегда можете скачать исходный код и скомпилировать. Исходный код свободного ПО (и даже не совсем свободного) у вас никто не отберет.
Более того можете взять LFS и сидеть компилировать до посинения.
Ответить | Правка | Наверх | Cообщить модератору

37. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +2 +/
Сообщение от Аноним (37), 28-Фев-23, 16:26 
Мы можем. Но выше написали про яблочников.
Ответить | Правка | Наверх | Cообщить модератору

47. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  –2 +/
Сообщение от Аноним (47), 28-Фев-23, 21:12 
Яблочники сделали правильно и хорошо. LFS и Линукс сделали всё неправильно и плохо. Поэтому линуксом на обычных компах никто не пользуется из нормальных людей.  
Ответить | Правка | Наверх | Cообщить модератору

56. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +/
Сообщение от Бывалый смузихлёб (?), 01-Мрт-23, 17:55 
> Но вы же всегда можете скачать исходный код и скомпилировать. Исходный код
> свободного ПО (и даже не совсем свободного) у вас никто не
> отберет.
> Более того можете взять LFS и сидеть компилировать до посинения.

Как бы да, но у XCode нет свободного ПО

Слава Богам, что есть Опенкор, позволяющий ставить яблочную ОСь даже на ноутбучные амд ( харам !! ) . Но свежая энвидиа всё равно не поддерживается - только амд радеон

Ответить | Правка | К родителю #24 | Наверх | Cообщить модератору

27. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +2 +/
Сообщение от Аноним (17), 28-Фев-23, 11:45 
Т.е. XCode должен зависеть от 6 гигов системных библиотек и весить 1 гиг? Но зачем?
Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

38. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  –1 +/
Сообщение от Бывалый смузихлёб (?), 28-Фев-23, 16:27 
> Т.е. XCode должен зависеть от 6 гигов системных библиотек и весить 1
> гиг? Но зачем?

Ууу, пацан, ты ещё многого не знаешь...

Вот обновляются, например, шланг или гнутый или, даже, вижуал студио для соответствия с новыми веяниями языка...
На винде или линуксе ты просто скачаешь новый пакет/приложение/сборку - и кайфуешь

И только на яблоке, если обновления старше чем 1год относительно текущей оси... тебе, чтобы возрадоваться новым плюшкам компилятора, прежде надо обновить ОСь 10Гб ), после - XCode( ~10 Гб ) - и это при условии что железо поддерживаемо а тырнет - абсолютно стабилен, ведь яблоко при любом чихе начинает загрузку с нуля ! )
И это без учёта того, что яблоко ежегодно выкидывает часть железа как неподдерживаемое. Слава Богам что есть опенкор и на интелловских процах( с амд-шными тонны гемора ) начиная от коффе-лейк ещё можно поставить яблочную ОСь с нативной поддержкой и проца и интегрированной графики( только чутка подпатчить. С Энвидией вообще никакие пляски не спасут ибо выпилена подчистую. Но там хотя бы аймак 19,1 )

Ответить | Правка | Наверх | Cообщить модератору

46. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  –1 +/
Сообщение от Аноним (47), 28-Фев-23, 21:11 
Так всё что ты описал это правильно и надёжно. Так и должно быть. Или что правильно это для свежатинки сделать ./configure; make; make install а потом несколько дней разбирать лапшу зависимостей по одной? А потом разгребать куда же это всё установилось размазавшись по системе тонким слоем? Или правильно ныть что мейнтенеры не соизволили собрать свежатинку? Или вообще ждать ебилдов?

Какая вообще проблема взять да и обновится на маке? Типа ты потеряешь несколько часов своего итак ничего не делания? Кеши хранить ты что скопидом? А если кеши повредится или его специально заменят? Денег на трафик и железо нет? А зачем эплу поддерживать убожество которое ухудшает пользовательский опыт? Чтобы ты бедняк смог сэкономить? Зачем эплу нужно чтобы ты экономил? Весь твой коммент с точки зрения нормального человека бред. Эпл всё делает правильно. А ты делаешь всё неправильно.  

Ответить | Правка | Наверх | Cообщить модератору

55. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +1 +/
Сообщение от Бывалый смузихлёб (?), 01-Мрт-23, 16:21 
Неправильно, когда какое-нибудь обновление свифта с 5.2 на 5.4 подразумевает обновление XCode, которое подразумевает обновление ОСи. Без каких-либо вариантов выбора. Неправильно, когда даже минорное обновление ЯП может требовать полную переустановку IDE и вообще всей ОС. Ещё и со стартом загрузки сначала на любой чих ведь они до сих пор не поддерживают докачку.

Яблоко вертело  и плевало на пользовательский опыт и прочую ерунду
И даже если всё пройдёт нормально( что совсем не обязательно ) - нет никаких гарантий, что иные данные и ПО после обновления не отвалятся( и не факт что они ещё поддерживаются )

В районе Каталины, например, яблоко просто взяло - и запретило вообще всё 32-битное, включая вайн и старые штуки через него запускаемые. Вот просто нет и всё.

Тут с некоторой тоской вспоминается вижуал студио, который не требует переустановки ОС на каждое обновление C++ или C#
Вообще-то, никто не требует кроме яблока и икс-кода

А уж обновление я-оси на я-фоне... там перед каждым лучше полную копию сделать и загрузить образ новой прошивки, иначе хорошие шансы получить кирпич или, в лучшем случае, рабочее но полностью сброшенное устройство

Ответить | Правка | Наверх | Cообщить модератору

32. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  –1 +/
Сообщение от AlexYeCy_not_logged (?), 28-Фев-23, 12:26 
>В оффтопе и маке софт итак распространяется правильно им прослойки и контейнеры не нужны.  

В гробу я видал такую «правильность».

Ответить | Правка | К родителю #18 | Наверх | Cообщить модератору

22. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  –1 +/
Сообщение от Самый умный из вас (?), 28-Фев-23, 11:14 
Bubblewrap != flatpak
Ответить | Правка | К родителю #10 | Наверх | Cообщить модератору

35. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  –1 +/
Сообщение от YetAnotherOnanym (ok), 28-Фев-23, 15:07 
Это всегда была забота мэнтейнера пакета в конкретном дистрибутиве.
Ответить | Правка | К родителю #10 | Наверх | Cообщить модератору

36. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +1 +/
Сообщение от Аноним (36), 28-Фев-23, 15:15 
> зачем оно

никто точно не знает

Ответить | Правка | К родителю #3 | Наверх | Cообщить модератору

23. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +2 +/
Сообщение от Самый умный из вас (?), 28-Фев-23, 11:17 
Запускать вложенный баблврап из уже созданного баблврап-окружения научились?
Ответить | Правка | Наверх | Cообщить модератору

28. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +/
Сообщение от Аноним (13), 28-Фев-23, 11:51 
Там это, вложенный unshare конечно работает, но совсем не так, как хотелось бы пользователю. Поэтому не понятно, чего ты вообще хочешь от него.
Ответить | Правка | Наверх | Cообщить модератору

34. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  –1 +/
Сообщение от Самый умный из вас (?), 28-Фев-23, 14:25 
Nixos-specific
Ответить | Правка | Наверх | Cообщить модератору

63. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +/
Сообщение от Аноним (66), 03-Мрт-23, 21:45 
В NixOS вообще нет изоляции приложений. А вот используй они bwrap (--bind) для создания окружения вместо кучи симлинок, была бы и изоляция процессов, и порядок в ФС, и патчей сборки стало бы меньше. Но не шмогла.
Ответить | Правка | Наверх | Cообщить модератору

29. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +2 +/
Сообщение от Аноним (29), 28-Фев-23, 12:09 
>Для выполнения привилегированных операций по настройке контейнера Bubblewrap запускается с правами root (исполняемый файл c suid-флагом) с последующим сбросом привилегий после завершения инициализации контейнера.

И чем это лучше, чем firejail?

Ответить | Правка | Наверх | Cообщить модератору

33. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  –1 +/
Сообщение от Аноним (33), 28-Фев-23, 14:07 
firejail - это блоатварь, а как и в любой другой блоатвари, в firejail неоднократно находили уязвимости. Да такие, что без fairjail было бы безопаснее, чем с ним. Такой вот парадокс. Ну а сабж тем временем дает истинно минимальный функционал, основанный исключительно на неймспейсах.
Ответить | Правка | Наверх | Cообщить модератору

39. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +/
Сообщение от Аноним (39), 28-Фев-23, 16:53 
А уязвимости эти эксплуатирются удалено али как?
Ответить | Правка | Наверх | Cообщить модератору

41. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +1 +/
Сообщение от Аноним (29), 28-Фев-23, 18:43 
>в firejail неоднократно находили уязвимости

Срочно на раст переписать надо, не иначе!

Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

51. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +1 +/
Сообщение от Аноним (51), 28-Фев-23, 22:29 
думаешь загасить одни уязвимости другими?!
Ответить | Правка | Наверх | Cообщить модератору

52. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  –1 +/
Сообщение от Вы забыли заполнить поле Name (?), 28-Фев-23, 23:17 
>  в firejail неоднократно находили уязвимости.

Уязвимости в bubblewrap https://cve.mitre.org/cgi-bin/cvekey.cgi?keyword=bubblewrap - это, конечно, другое.

Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

54. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +/
Сообщение от Аноним (33), 01-Мрт-23, 06:37 
способов атаковать firejail на порядки больше, чем сабж. Просто потому, что сабж -- это просто прослойка над linux namespaces (читай: unshare(2) заэкспортировали в виде шелл-скриптуемого бинаря). firejail тем временем пытается быть решением под ключ, и его кривая реализация распространяется много дальше неймспейсов. Поэтому что в прошлом, что в будущем - firejail всегда будет давать заметно большее кол-во CVE.
Ответить | Правка | Наверх | Cообщить модератору

60. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +/
Сообщение от Вы забыли заполнить поле Name (?), 02-Мрт-23, 21:40 
> способов атаковать firejail на порядки больше, чем сабж. Просто потому, что сабж
> -- это просто прослойка над linux namespaces (читай: unshare(2) заэкспортировали в
> виде шелл-скриптуемого бинаря). firejail тем временем пытается быть решением под ключ,
> и его кривая реализация распространяется много дальше неймспейсов. Поэтому что в
> прошлом, что в будущем - firejail всегда будет давать заметно большее
> кол-во CVE.

firejail решает задачу изоляции для любого бинарника, это может быть консольная утилита или графическое приложение, не важно как я его установил себе: пакетом или просто скачал бинарь. К тому же у firejail поддерживает профили для большинства приложений из коробки. Как подобного добиться с bubblewrap? Использовать flatpack? Но это навязывание способа установки софта и соответствующей инфраструктуры откуда эти пакеты брать.  

Ответить | Правка | Наверх | Cообщить модератору

53. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  –1 +/
Сообщение от Вы забыли заполнить поле Name (?), 28-Фев-23, 23:18 
> И чем это лучше, чем firejail?

Это проблема курицы и яйца. Чтобы настроить контейнер нужны привилегии. Либо suid, либо как в докере.

Ответить | Правка | К родителю #29 | Наверх | Cообщить модератору

62. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +/
Сообщение от Аноним (66), 03-Мрт-23, 21:26 
В твоей цитате из новости лишь малая часть правды.

Ядро собранное с включенным CONFIG_USER_NS_UNPRIVILEGED (например, штатные ядра в Арче, кроме linux-hardened) позволяет поставлять bwrap без suid бита (например, как в штатном пакете bubblewrap в Арче) и, следовательно, запускать с привилегиями обычного пользователя. Firejail стартует только под рутом (SUID) или придётся выкинуть из него все фичи, вроде тонкой настройки сети, без которых он превратится в перегруженную версию bwrap'а.

Ответить | Правка | К родителю #29 | Наверх | Cообщить модератору

40. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +/
Сообщение от Аноним (40), 28-Фев-23, 18:15 
Network namespaces будут?
Ответить | Правка | Наверх | Cообщить модератору

57. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +/
Сообщение от Аноним (33), 02-Мрт-23, 07:29 
Они там изначально. Дополнительные настройки реализуются в другом месте, см. passt(1).
Ответить | Правка | Наверх | Cообщить модератору

61. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +/
Сообщение от Вы забыли заполнить поле Name (?), 02-Мрт-23, 21:41 
> Они там изначально. Дополнительные настройки реализуются в другом месте, см. passt(1).

Ну вот чуть влево вправо все реализуется отдельно. Зачем тогда сравнение с firejail?

Ответить | Правка | Наверх | Cообщить модератору

64. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +/
Сообщение от Аноним (66), 03-Мрт-23, 21:48 
Это называется Unix-way. Полагаю, сравнение демонстрирует одно из достоинств Bubblewrap - модульность.
Ответить | Правка | Наверх | Cообщить модератору

67. "Выпуск Bubblewrap 0.8, прослойки для создания изолированных ..."  +/
Сообщение от Вы забыли заполнить поле Name (?), 04-Мрт-23, 16:14 
> Это называется Unix-way. Полагаю, сравнение демонстрирует одно из достоинств Bubblewrap
> - модульность.

Суть в том, что по функционалу сам по себе он умеет сильно меньше, чем firejail. Этот как сравнивать grep с vim и говорить, что в первом меньше уязвимостей.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру