Bubblewrap - 版の履歴

Kgx: 序文を更新

2023-12-17T23:52:43Z

序文を更新

← 古い版		2023年12月18日 (月) 08:52時点における版
10行目:		10行目:
	[https://github.com/projectatomic/bubblewrap bubblewrap] は [[Flatpak]] から発展した軽量な [[wikipedia:Setuid\|setuid]] サンドボックスアプリケーションです。インストール容量が小さくリソース要件は最小限です。アプリケーションパッケージ自体は bubblewrap と呼ばれますが、実際の実行バイナリや man ページで使われている名前は {{man\|1\|bwrap}} です。bubblewrap は将来的に [https://www.torproject.org/projects/torbrowser.html Tor Browser] (Linux 版) の [https://blog.torproject.org/blog/q-and-yawning-angel サンドボックス機構] として使われることが期待されています。特徴として cgroup/IPC/マウント/ネットワーク/PID/ユーザー/UTS [[wikipedia:Linux_namespaces\|名前空間]]や [[wikipedia:Seccomp\|seccomp]] フィルタリングをサポートしています。bubblewrap はサンドボックス内の全ての[[ケイパビリティ]]を破棄して子タスクが親以上の権限を得られないようにします。ファイルパスベースのブラックリストやホワイトリストは対応していません。		[https://github.com/projectatomic/bubblewrap bubblewrap] は [[Flatpak]] から発展した軽量な [[wikipedia:Setuid\|setuid]] サンドボックスアプリケーションです。インストール容量が小さくリソース要件は最小限です。アプリケーションパッケージ自体は bubblewrap と呼ばれますが、実際の実行バイナリや man ページで使われている名前は {{man\|1\|bwrap}} です。bubblewrap は将来的に [https://www.torproject.org/projects/torbrowser.html Tor Browser] (Linux 版) の [https://blog.torproject.org/blog/q-and-yawning-angel サンドボックス機構] として使われることが期待されています。特徴として cgroup/IPC/マウント/ネットワーク/PID/ユーザー/UTS [[wikipedia:Linux_namespaces\|名前空間]]や [[wikipedia:Seccomp\|seccomp]] フィルタリングをサポートしています。bubblewrap はサンドボックス内の全ての[[ケイパビリティ]]を破棄して子タスクが親以上の権限を得られないようにします。ファイルパスベースのブラックリストやホワイトリストは対応していません。

			{{Warning\|Bubblewrap は、名前空間や seccomp フィルターなどのサンドボックス技術を提供するツールです。デフォルトでは、X11 ウィンドウシステムのような弱点を分離する完全なサンドボックスは提供されません ([[bubblewrap#X11 のサンドボックス化\|X11 のサンドボックス化]] を参照) 信頼できないコードの実行は安全ではなく、サンドボックスではこれを変更できません。}}
	{{Warning\|ユーザーやログインセッションの分離とは異なり、bubblewrap はカーネルのセキュリティ脆弱性の他にウィンドウコンポジタの脆弱性の影響を受けます。信頼できないコードを bubblewrap を実行しないようにユーザーは注意する必要があります。}}

	==インストール==		==インストール==

Kgx: /* トラブルシューティング */ ポータルの使用を翻訳して追加

2023-12-17T23:48:49Z

トラブルシューティング: ポータルの使用を翻訳して追加

@@ 178行目: / 178行目: @@
 X11 の隔離化をテストするには、{{ic|xinput test <id>}} を実行してください (<id> は {{ic|xinput list}} で確認できるキーボード ID に置き換えてください)。X11 が分離化されていない場合、X11 にアクセスできるアプリケーションはキーロガーのように他のアプリケーションのキーボード入力を盗聴することができてしまいます。
 === ラッピングしたアプリケーションから URL を開く ===
 ラッピングした IRC やメールクライアントで URL を開くと、起動するブラウザプロセスも同じサンドボックス内で動作します。アプリケーションの分離が強固な場合、うまく機能しないことがあります。[[Firejail]] では [https://github.com/netblue30/firejail/blob/b1479a3730a361221c271226cc56d0724ee109c4/etc/thunderbird.profile#L31-L33 ラッピングしたアプリケーションにブラウザと同じ権限を与える] ことで解決しますが、パーミッションがゆるくなってしまいます。

Kgx: /* 使用例 */ 情報を更新

2023-12-17T23:37:33Z

使用例: 情報を更新

← 古い版		2023年12月18日 (月) 08:37時点における版
35行目:		35行目:
	== 使用例 ==		== 使用例 ==

	bubblewrap の使用例については、[[Bubblewrap/例\|Bubblewrap/例]] を参照してください。		bubblewrap の使用例については、[[Bubblewrap/例\|Bubblewrap/例]] を参照してください。また bubblewrap を一般的なアプリケーションに使用する方法を示すさまざまなプロジェクトがあります。

	また bubblewrap を一般的なアプリケーションに使用する方法を示すさまざまなプロジェクトがあります。
	* [https://github.com/valoq/bwscripts/ bwscripts]		* [https://github.com/valoq/bwscripts/ bwscripts]
			* [https://github.com/StandingPadAnimations/sandboxing-scripts StandingPad's Bubblewrap scripts]

	=== No-op ===		=== No-op ===

Kgx: /* 使用例 */ ファイルシステムの分離を翻訳して追加

2023-12-17T23:35:44Z

使用例: ファイルシステムの分離を翻訳して追加

← 古い版		2023年12月18日 (月) 08:35時点における版
89行目:		89行目:

	{{Note\|{{Ic\|mupdf.sh}} が実行可能 PATH 内にあることを確認します (例:{{Ic\|1=PATH=$PATH:$HOME/bwrap}})}}		{{Note\|{{Ic\|mupdf.sh}} が実行可能 PATH 内にあることを確認します (例:{{Ic\|1=PATH=$PATH:$HOME/bwrap}})}}

			=== ファイルシステムの分離 ===

			{{Warning\|bubblewrap ユーザーは、ファイルシステムツリーを定期的に更新する必要があります。}}

			ファイルシステムの内容 ({{ic\|/var}}、{{ic\|/usr/bin}}、{{ic\|/usr/lib}} など) をさらに非表示にし、ソフトウェアをインストールすると、pacman に Arch パッケージを分離されたファイルシステムツリーにインストールさせることができます。

			pacman を使用してソフトウェアをファイルシステムツリーにインストールするには、{{Pkg\|fakeroot}} と {{Pkg\|fakechroot}} をインストールする必要があります。

			pacman を使用して分離されたファイルシステムツリーに {{ic\|xterm}} パッケージをインストールする場合、次のようにツリーを準備する必要があります:

			$ MYPACKAGE=xterm
			$ mkdir -p ~/sandboxes/${MYPACKAGE}/files/var/lib/pacman
			$ mkdir -p ~/sandboxes/${MYPACKAGE}/files/etc
			$ cp /etc/pacman.conf ~/sandboxes/${MYPACKAGE}/files/etc/pacman.conf

			{{ic\|~/sandboxes/${MYPACKAGE}/files/etc/pacman.conf}} を編集して、使用する pacman 設定を調整することもできます:

			* 不要なカスタムリポジトリや {{ic\|IgnorePkg}}, {{ic\|IgnoreGroup}}, {{ic\|NoUpgrade}}, {{ic\|NoExtract}} 設定を削除してください。
			* pacman がディスクスペースのチェックでルートファイルシステムを見つけるのにエラーがあっても無視するように、{{ic\|CheckSpace}} オプションを削除する必要があるかもしれません。

			次に、{{ic\|base}} グループを必要な fakeroot とともに分離ファイルシステムツリーにインストールします:

			$ fakechroot fakeroot pacman -Syu \
			--root ~/sandboxes/${MYPACKAGE}/files \
			--dbpath ~/sandboxes/${MYPACKAGE}/files/var/lib/pacman \
			--config ~/sandboxes/${MYPACKAGE}/files/etc/pacman.conf \
			base fakeroot

			同じオプションを指定して bubblewrap を繰り返し呼び出すことになるため、エイリアスを作成します:

			$ alias bw-install='bwrap \
			--bind ~/sandboxes/${MYPACKAGE}/files/ / \
			--ro-bind /etc/resolv.conf /etc/resolv.conf \
			--tmpfs /tmp \
			--proc /proc \
			--dev /dev \
			--chdir / '

			{{ic\|~/sandboxes/${MYPACKAGE}/files/etc/locale.gen}} を [[ヘルプ:読み方#ヘルプ:読み方\|編集]] し、次を実行して [[ロケール]] を設定する必要があります:

			$ bw-install locale-gen

			Then set up pacman’s keyring:

			$ bw-install fakeroot pacman-key --init
			$ bw-install fakeroot pacman-key --populate

			次に、pacman のキーリングを設定します:

			$ bw-install fakeroot pacman -S ${MYPACKAGE}

			ここで pacman コマンドが失敗した場合は、キーリングを設定するコマンドを再度実行してみてください。

			これで、{{ic\|xterm}} を含む分離されたファイルシステムツリーが完成しました。{{ic\|bw-install}} を再度使用して、ファイルシステムツリーをアップグレードできます。

			これで、bubblewrap を使用してソフトウェアを実行できるようになります。この場合、{{ic\|''command''}} は {{ic\|xterm}} である必要があります。

			$ bwrap \
			--ro-bind ~/sandboxes/${MYPACKAGE}/files/ / \
			--ro-bind /etc/resolv.conf /etc/resolv.conf \
			--tmpfs /tmp \
			--proc /proc \
			--dev /dev \
			--chdir / \
			''command''

			一部のファイルはパッケージ間で共有できることに注意してください。既存の親ファイルシステムツリーのすべてのファイルにハードリンクして、新しいツリーで再利用できます:

			$ cp -al ~/sandboxes/${MYPARENTPACKAGE} ~/sandboxes/${MYPACKAGE}

			次に、{{ic\|bw-install fakechroot fakeroot pacman ...}} から pacman を呼び出して、通常どおりインストールを続行します。

	== トラブルシューティング ==		== トラブルシューティング ==

Kgx: /* 使用例 */ デスクトップエントリを翻訳して追加

2023-12-17T23:23:57Z

使用例: デスクトップエントリを翻訳して追加

@@ 62行目: / 62行目: @@
  bash-4.4$ ls -l /usr/bin/bash
  -rwxr-xr-x 1 nobody nobody 811752 2017-01-01 04:20 /usr/bin/bash
 == トラブルシューティング ==

Kgx: /* bubblewrap の設定マネージャー */ リンクを修正

2023-02-22T13:11:53Z

bubblewrap の設定マネージャー: リンクを修正

← 古い版		2023年2月22日 (水) 22:11時点における版
30行目:		30行目:
	引数を手動で設定する代わりに、設定マネージャーを使用して、単純な設定から自動的に bubblewrap を構成できます。		引数を手動で設定する代わりに、設定マネージャーを使用して、単純な設定から自動的に bubblewrap を構成できます。

	{{App\|[~~https://wiki.archlinux.org/title/Bubblejail~~ Bubblejail]\|リソースベースのパーミッションモデルを備えた bubblewrap ベースのサンドボックス (パーミッションを微調整するための GUI を提供)\|https://github.com/igo95862/bubblejail\|{{AUR\|bubblejail}}, {{AUR\|bubblejail-git}}}}		{{App\|[[Bubblejail]]\|リソースベースのパーミッションモデルを備えた bubblewrap ベースのサンドボックス (パーミッションを微調整するための GUI を提供)\|https://github.com/igo95862/bubblejail\|{{AUR\|bubblejail}}, {{AUR\|bubblejail-git}}}}
	{{App\|Crabjail\|Simple bubblewrap launcher\|https://codeberg.org/crabjail/crabjail\|}}		{{App\|Crabjail\|Simple bubblewrap launcher\|https://codeberg.org/crabjail/crabjail\|}}

Kgx: /* 使用例 */ リンクを修正

2023-02-21T21:11:38Z

使用例: リンクを修正

← 古い版		2023年2月22日 (水) 06:11時点における版
35行目:		35行目:
	== 使用例 ==		== 使用例 ==

	bubblewrap の使用例については、[~~https://wiki.archlinux.org/title~~/Bubblewrap/~~Examples Examples~~] を参照してください。		bubblewrap の使用例については、[[Bubblewrap/例\|Bubblewrap/例]] を参照してください。

	また bubblewrap を一般的なアプリケーションに使用する方法を示すさまざまなプロジェクトがあります。		また bubblewrap を一般的なアプリケーションに使用する方法を示すさまざまなプロジェクトがあります。

Kgx: 情報を整理

2023-02-21T20:54:03Z

情報を整理

差分を表示

Kgx: /* トラブルシューティング */ ネストされた名前空間を翻訳して追加

2023-02-21T20:36:59Z

トラブルシューティング: ネストされた名前空間を翻訳して追加

← 古い版		2023年2月22日 (水) 05:36時点における版
320行目:		320行目:
	{{ic\|bw-install fakechroot fakeroot pacman ...}} から pacman を呼び出して通常通りにインストールを行ってください。		{{ic\|bw-install fakechroot fakeroot pacman ...}} から pacman を呼び出して通常通りにインストールを行ってください。

	==トラブルシューティング==		== トラブルシューティング ==
	===X11 を使う===		===X11 を使う===
	ホストの X11 ソケットを別の X11 ソケットにバインドマウントしても上手く行かないことがあります:		ホストの X11 ソケットを別の X11 ソケットにバインドマウントしても上手く行かないことがあります:
327行目:		327行目:
	--bind /tmp/.X11-unix/X0 /tmp/.X11-unix/X0 --setenv DISPLAY :0		--bind /tmp/.X11-unix/X0 /tmp/.X11-unix/X0 --setenv DISPLAY :0

	===X11 のサンドボックス化===		=== X11 のサンドボックス化 ===

	bwrap はアプリケーションをサンドボックス化するための素晴らしい隔離機能を備えていますが、X11 ソケットにアクセスできてしまえば簡単に離脱することができます。X11 にはアプリケーション間の分離が存在しないためセキュリティ的に危険です。サンドボックスから X サーバーにアクセスできないようにする方法として Wayland コンポジタに切り替える方法があります。		bwrap はアプリケーションをサンドボックス化するための素晴らしい隔離機能を備えていますが、X11 ソケットにアクセスできてしまえば簡単に離脱することができます。X11 にはアプリケーション間の分離が存在しないためセキュリティ的に危険です。サンドボックスから X サーバーにアクセスできないようにする方法として Wayland コンポジタに切り替える方法があります。
335行目:		335行目:
	X11 の隔離化をテストするには、{{ic\|xinput test <id>}} を実行してください (<id> は {{ic\|xinput list}} で確認できるキーボード ID に置き換えてください)。X11 が分離化されていない場合、X11 にアクセスできるアプリケーションはキーロガーのように他のアプリケーションのキーボード入力を盗聴することができてしまいます。		X11 の隔離化をテストするには、{{ic\|xinput test <id>}} を実行してください (<id> は {{ic\|xinput list}} で確認できるキーボード ID に置き換えてください)。X11 が分離化されていない場合、X11 にアクセスできるアプリケーションはキーロガーのように他のアプリケーションのキーボード入力を盗聴することができてしまいます。

	===ラッピングしたアプリケーションから URL を開く===		=== ラッピングしたアプリケーションから URL を開く ===
	ラッピングした IRC やメールクライアントで URL を開くと、起動するブラウザプロセスも同じサンドボックス内で動作します。アプリケーションの分離が強固な場合、うまく機能しないことがあります。[[Firejail]] では [https://github.com/netblue30/firejail/blob/b1479a3730a361221c271226cc56d0724ee109c4/etc/thunderbird.profile#L31-L33 ラッピングしたアプリケーションにブラウザと同じ権限を与える] ことで解決しますが、パーミッションがゆるくなってしまいます。		ラッピングした IRC やメールクライアントで URL を開くと、起動するブラウザプロセスも同じサンドボックス内で動作します。アプリケーションの分離が強固な場合、うまく機能しないことがあります。[[Firejail]] では [https://github.com/netblue30/firejail/blob/b1479a3730a361221c271226cc56d0724ee109c4/etc/thunderbird.profile#L31-L33 ラッピングしたアプリケーションにブラウザと同じ権限を与える] ことで解決しますが、パーミッションがゆるくなってしまいます。

351行目:		351行目:
	{{ic\|/usr/bin/chromium}} のバインドは Mozilla Thunderbird など XDG に準拠していないプログラムでのみ必要です。		{{ic\|/usr/bin/chromium}} のバインドは Mozilla Thunderbird など XDG に準拠していないプログラムでのみ必要です。

	===新規セッション===		=== 新規セッション ===

	TIOCSTI にはサンドボックスから脱出できるセキュリティ問題が存在します (CVE-2017-5226)。この問題に対応するために、bubblewrap には setsid() を呼び出す新しいオプション '--new-session' が追加されています。ただしこのオプションはときとして扱いにくい挙動上の問題を起こすことがあります。例えば bwrap コマンドでシェルのジョブ制御が機能しなくなります。		TIOCSTI にはサンドボックスから脱出できるセキュリティ問題が存在します (CVE-2017-5226)。この問題に対応するために、bubblewrap には setsid() を呼び出す新しいオプション '--new-session' が追加されています。ただしこのオプションはときとして扱いにくい挙動上の問題を起こすことがあります。例えば bwrap コマンドでシェルのジョブ制御が機能しなくなります。
357行目:		357行目:
	可能であればオプションを使用することが推奨されていますが、そうでない場合は別の方法で問題を解決することが推奨されます。例えば flatpak は SECCOMP を使用します:		可能であればオプションを使用することが推奨されていますが、そうでない場合は別の方法で問題を解決することが推奨されます。例えば flatpak は SECCOMP を使用します:
	https://github.com/flatpak/flatpak/commit/902fb713990a8f968ea4350c7c2a27ff46f1a6c4		https://github.com/flatpak/flatpak/commit/902fb713990a8f968ea4350c7c2a27ff46f1a6c4

			=== ネストされた名前空間 ===

			[[Chromium]] などの特定のアプリケーションは、suid ヘルパーファイルを使って独自のサンドボックス環境をすでに実装しています。この仕組みは、bubblewrap container 内で実行されるとブロックされます。

			1つの解決策は、アプリケーションに bubblewrap によって作成された名前空間を使用させることです。これは {{AUR\|zypak}} によって実現できます。これは flatpak でも使われていて、追加の名前空間の中で電子ベースのアプリを実行します。Chromium/[[Electron]] で zypak を使用する方法を示すサンプルコードは [https://github.com/valoq/bwscripts/blob/master/profiles/signal-desktop] で見ることができます。

	==参照==		==参照==

Kgx: /* 使用例 */ 情報を更新

2023-02-21T20:33:37Z

使用例: 情報を更新

← 古い版		2023年2月22日 (水) 05:33時点における版
32行目:		32行目:
	{{App\|Crabjail\|Simple bubblewrap launcher\|https://codeberg.org/crabjail/crabjail\|}}		{{App\|Crabjail\|Simple bubblewrap launcher\|https://codeberg.org/crabjail/crabjail\|}}

	==使用例==		== 使用例 ==

			bubblewrap の使用例については、[https://wiki.archlinux.org/title/Bubblewrap/Examples Examples] を参照してください。

			また bubblewrap を一般的なアプリケーションに使用する方法を示すさまざまなプロジェクトがあります。
			* [https://github.com/valoq/bwscripts/ bwscripts]

	=== No-op ===		=== No-op ===
39行目:		44行目:
	$ bwrap --dev-bind / / bash		$ bwrap --dev-bind / / bash
	サンドボックスの外のように振る舞う bash プロセスが生成されます。サンドボックス化したプログラムがおかしくなってしまう場合、上記の no-op から段々と設定をセキュアにしていくことができます。		サンドボックスの外のように振る舞う bash プロセスが生成されます。サンドボックス化したプログラムがおかしくなってしまう場合、上記の no-op から段々と設定をセキュアにしていくことができます。

			{{Note\|所有者またはグループが現在のものでない場合、この操作はすべての所有者とグループを {{Ic\|nobody}} に変更します。これは、{{ic\|sudo}} のようなプログラムを実行すると正しく動作しないことを示唆しています。}}

	=== Bash ===		=== Bash ===