projectatomic/bubblewrap
Bubblewrap
Bubblewrap est un utilitaire d'exécution en sandbox non privilégié pour Linux qui isole les processus du système hôte. Il crée des environnements sécurisés en tirant parti des espaces de noms (namespaces) Linux pour séparer les ressources système, y compris les piles réseau, PID et IPC.
Le projet se distingue en permettant l'exécution de logiciels non approuvés sans nécessiter de privilèges root sur la machine hôte. Il empêche l'élévation de privilèges en désactivant l'exécution de binaires setuid et utilise le mappage d'identité utilisateur pour isoler les permissions de processus du système d'exploitation hôte.
L'outil gère une surface de sécurité complète qui inclut le contrôle d'accès au système de fichiers pour restreindre la visibilité des répertoires et les permissions en lecture seule. Il réduit en outre la surface d'attaque du noyau via le filtrage des appels système seccomp.
Features
- Linux Sandboxes - Creates isolated execution environments using Linux kernel primitives to restrict resource access and system visibility.
- Mount-Namespace Virtualization - Provides a restricted filesystem view by isolating mount points and enforcing read-only permissions.
- Container User Identity Mapping - Translates internal sandbox user identities to host identities to isolate process permissions from the host system.
- Unprivileged Container Execution - Enables the execution of applications in isolated environments without requiring root privileges on the host machine.
- Process Isolation - Restricts process access to system resources by creating private network, PID, and IPC instances.
- Namespace-Based Isolation - Implements isolated environments using Linux kernel namespaces to separate network, PID, and IPC stacks from the host.
- Process User Isolation - Redefines user and group identities to isolate process permissions from the host operating system.
- Isolated Execution Sandboxes - Executes processes in a secure, unprivileged environment using Linux namespaces for isolation.
- System Call Surface Minimizers - Reduces the kernel attack surface by restricting the available host system call interface using seccomp.
- Privilege Escalation Prevention - Prevents privilege escalation by blocking the execution of setuid binaries within the sandboxed environment.
- Read-Only Filesystem Enforcement - Enforces read-only access and restricts visibility of host directories within the secure execution environment.
- System Call Filter Analysis - Limits the specific kernel syscalls a process can execute by applying seccomp filters.
- Seccomp Profiles - Applies seccomp filter profiles to restrict the set of kernel system calls a process can execute.
- Sandboxing and Isolation - Sandboxing tool using namespaces without requiring root.
