Sandboxované desktopové aplikace

Článek Sandboxované desktopové aplikace na Fedora.cz představuje "kontejnerovou technologii zaměřenou na desktopové aplikace, která v budoucnu výrazně ovlivní povahu distribuce softwaru nejen ve Fedoře". Cílem technologie využívající cgroups, namespaces, SELinux, kdbus a Wayland je umožnit třetím stranám vytvářet a distribuovat aplikace, které fungují na různých linuxových distribucích a spouštět aplikace v prostředí, které je co nejvíce izoluje od zbytku systému.

11.5.2015 12:00 | Ladislav Hagara | Zajímavý článek

Komentáře

[sonicpp]

Zajímavý, já se snažím izolovat Steam, aby mi neznásilnil systém (není to samozřejmě dokonalý). Toto vypadá dobře. Akorát nevýhoda je v tom, že to cílová aplikace musí sama podporovat, jestli jsem to dobře pochopil.

[Jardík]

Nemusí. Prostě si jí uzavřeš. I dneska si jí můžeš narvat do chrootu, akorát kvůli nebezpečnosti Xek ti to bude k ničemu, aplikace tě stejně bude moci šmírovat přes Xko.

[Sten]

Smyslem je právě to, že to podporovat nemusí. Přes cgoups, namespaces a SELinux se zavře mimo zbytek souborového systému (to umí Docker již dnes), omezí se, kam může přes D-Bus (jde dnes udělat nastavením D-Busu, ale zlá aplikace to může obejít, proto to řeší přes kdbus) a omezí se jí přístup ke klávesnici, myši a displeji (to Xka neumí, ale Wayland to asi umět bude).

[smazáno]

Doufam, ze nebudou tak izolovane, ze kazde zvlast nebudu muset nastavovat tema, fonty atd. ale stejne mi system rozdrbou pres dbus :)

[smazáno]

Zmrazeniho toho ABI nad dbus (a vlastni dbus) na 10+ let dopredu (resp. dozadu), aby to teda k necemu bylo, taky neni uplne sranda.

A opravdu me zajima jak bude resena aktualnost bundlovanych zavislosti v techto kontejnerech - az budu pouzivat aplikaci co si sebou taha libgtk-3.12.2 v upstream verzi i kdyz v systemu mam s libgtk-3.12.2 + patche security bugu a autor aplikace+kontejneru si nevsiml, ze by mel upgradovat na 3.12.3 .... tak fakt z teto technologie dvakrat nadseny nebudu (je hodne dobre, ze utocnik bude mit problem zautocit na cokoliv mimo tuto aplikaci, ale i tak, napriklad, vytazene hesla z emailoveho klienta nepotesi.)

[Conscript89]

To ma reseni jednoduche prece. Izolujme ho od site, at ty hesla neposila. A vubec, co ma co stahovat nejake maily, beztak obsahuji samy spam a viry a jsou nebezpecim pro system a uzivatele :D

[Jardík]

Mě se vůbec celej ten systém alá OS X nelíbí... Chápu, místa na HDD je dost, uživateli to ulehčí instalaci blobů, balíčkáři si odpočinou, jelikož to budou balit asi rovnou vývojáři atd. Ale stejně, přijde mi to jako plýtvání + z toho může bejt víc problému než výhod. Zrovna jsem třeba někde četl jak jde přes docker strašně snadno získat roota a jak je to podle vývojářů vlastně feature a ne bug...

[Zopper]

Přímé přibalování závislostí á la OSX/Windows se mi taky moc nezamlouvá, byť to jednoznačně zvedá portabilitu balíčků. Jako zajímavější řešení mi přijdou verzované závislosti. Balíček pro kontejner bude obsahovat informaci, že chce glibc ve verzi XY (třeba v nějakém rozsahu), v repozitáři budou uložené všechny (majoritní) verze glibc, a ta správná se, pokud už není, stáhne a doinstaluje.

[R]

A opravovat diery v tych x verziach kniznic bude kto? Aha, nikto - ako vo Windows...

[little-drunk-jesus]

ono je to stejne jedno. pulka veci ve svete containeru je v go tudiz staticky slinkovana :)

[ikar]

Bude tam jediný pravověrný gnome 3 desktop s default theme, jak jinak, co byste chtěl nastavovat?

Celé to je klasická fedorovština, past na past. Nafouknutý bastl, který bude zanedlouho nahrazen jiným bastlem, dříve než by vůbec mohl začít nějak fungovat. Připomeňme si selinux sandbox, který poslední tři verze Fedory stejně nefunguje, protože Xephyr...

[Jardík]

Ještě se kdbus ani nedostal do jádra (a moc dobře to s ním nevypadá) a už ho používaj pro debilotiny. dbus je ostatně i dnes k ničemu a neřeší nic, co by nešlo vyřešit jinak. Akorát přidává závislosti. Nebo k čemu je mi dbus? K ničemu. Abych mohl požádat login manager o logout? O lock? To můžu udělat pitomým posláním signálu.

[Sten]

Jak pošle aplikace pod uživatelem Jardík signál login manageru běžícím pod rootem?

[Petr Tomášek]

Třeba pomocí RFC-1149.

[andree]

Mozme to generalizovat - naco je komu akekolvek ine IPC ako shared memory a spinlock? Kazda aplikacia nech si vymysli vlastne binarne rozhranie, svoj sposob nastavovania prav - hlavne aby nebolo univerzalne, to je zlo!