Bubblewrap 容器入门教程 / 第 1 章 - Bubblewrap 概述

第 1 章：Bubblewrap 概述

本章介绍 Bubblewrap 的设计理念、沙箱隔离原理，以及与 Docker、Firejail 等同类工具的对比，帮助读者建立全局认知。

1.1 什么是 Bubblewrap

Bubblewrap（命令名 bwrap）是一个轻量级的 Linux 用户态沙箱工具。它利用 Linux 内核提供的命名空间（Namespace）机制，为进程创建一个隔离的运行环境，限制其对文件系统、网络、进程等系统资源的访问。

核心设计目标

历史背景

Bubblewrap 最初由 Red Hat 的 Alexander Larsson 开发，作为 Flatpak 桌面应用框架的底层沙箱组件。随着项目成熟，它逐渐发展为独立的通用沙箱工具。

时间线:
  2016  - 项目启动，作为 Flatpak 的一部分
  2017  - 独立为单独的项目
  2019  - 被多个发行版收录为标准包
  2022  - 引入更多 seccomp 过滤功能
  2024  - 0.9.x 版本，支持更多命名空间特性

1.2 沙箱隔离原理

Linux 命名空间（Namespace）

Bubblewrap 的核心机制是 Linux 命名空间。命名空间是内核提供的资源隔离抽象，每种命名空间隔离一类系统资源：

┌─────────────────────────────────────────────┐
│                 宿主系统                      │
│                                              │
│  ┌─────────────────────────────────────────┐ │
│  │            Bubblewrap 沙箱               │ │
│  │                                         │ │
│  │  Mount NS: /  → 独立文件树               │ │
│  │  User NS:  UID 0 → 映射到宿主 UID 1000  │ │
│  │  PID NS:   PID 1 → 沙箱内第一个进程      │ │
│  │  Net NS:   无网络接口                    │ │
│  │                                         │ │
│  │  进程看到的视图:                          │ │
│  │  /          → tmpfs (只读)               │ │
│  │  /usr       → 宿主 /usr (只读绑定)       │ │
│  │  /tmp       → 私有 tmpfs                 │ │
│  │  /proc      → 沙箱 PID 命名空间的 proc    │ │
│  │                                         │ │
│  └─────────────────────────────────────────┘ │
│                                              │
│  其他进程...                                  │
└─────────────────────────────────────────────┘

权能（Capabilities）控制

Linux 权能机制将 root 的超级权限拆分为细粒度的能力单元。Bubblewrap 默认不赋予沙箱进程任何额外权能，即使是沙箱内的 “root” 用户（通过 user namespace 映射）也受到严格限制。

常见被限制的权能：

seccomp 系统调用过滤

Bubblewrap 可选地使用 seccomp-BPF 过滤系统调用，阻止沙箱进程执行危险的系统调用：

允许的系统调用:  read, write, open, close, mmap, brk, ...
阻止的系统调用:  mount, umount2, reboot, kexec_load, ...

1.3 与其他沙箱工具的对比

Docker vs Bubblewrap

Firejail vs Bubblewrap

其他工具对比

1.4 适用场景

理想使用场景

不适用场景

1.5 快速体验

在深入学习之前，让我们先感受一下 Bubblewrap 的基本用法：

# 创建一个最简单的沙箱，运行 bash
bwrap \
  --ro-bind / / \
  --dev /dev \
  --proc /proc \
  --tmpfs /tmp \
  --unshare-all \
  bash

# 在沙箱内查看进程（只能看到自己的进程）
ps aux
# PID TTY      STAT   TIME COMMAND
#   1 pts/0    S      0:00 bash
#   2 pts/0    R+     0:00 ps aux

# 在沙箱内查看网络（无网络接口）
ip addr
# 1: lo: <LOOPBACK> mtu 65536 qdisc noop state DOWN
#     link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00

# 退出沙箱
exit

参数解读

1.6 核心概念总结

1.7 注意事项

⚠️ 重要提醒

1. 内核版本要求：Bubblewrap 依赖 user namespace，需要 Linux 内核 >= 3.8。某些发行版（如 CentOS 7）默认禁用 unprivileged user namespace，需要手动开启。

2. 安全边界：Bubblewrap 提供的是防御性隔离（defense in depth），而非安全边界隔离。对于高价值的攻击目标（如处理 0day 漏洞），应使用虚拟机。

3. 文件系统权限：如果宿主的文件系统权限配置不当，沙箱内的进程可能通过 user namespace 映射绕过某些检查。

4. 非特权模式的限制：在 user namespace 内，某些操作（如挂载 FUSE 文件系统）可能受限。

1.8 扩展阅读

• Bubblewrap 官方仓库
• Bubblewrap man page
• Linux Namespaces - man page
• Flatpak 安全模型
• Docker 安全 vs Bubblewrap 安全
• seccomp 机制详解
• LWN: User namespace progress

下一章：第 2 章 - 安装与环境配置