[sisyphus] electron v 5.0 and user namespaces feature

[Michael Bykov <m.bykov@gmail.com>]

Салют,

в electron v.5.0 добавили запуск renreder-процесса в sandboxe, для
безобасности, чтобы было не хуже, чем в вебе.

Но при старте возникает ошибка:

$ npm start

[27373:1022/003935.785013:FATAL:setuid_sandbox_host.cc(157)] The SUID
sandbox helper binary was found, but is not configured correctly.
Rather than run without sandboxing I'm aborting now. You need to make
sure that /home/michael/tmp/sindresorhus/node_modules/electron/dist/chrome-sandbox
is owned by root and has mode 4755.

Отлично, говорят, лечится

$ cd node_modules/electron/dist
$ sudo chown root chrome-sandbox
$ sudo chmod 4755 chrome-sandbox

Тут у всех Линуксов все должно работать, но у нас (и в Arch) - опять ошибка
$ npm start

The setuid sandbox is not running as root. Common causes:
  * An unprivileged process using ptrace on it, like a debugger.
  * A parent process set prctl(PR_SET_NO_NEW_PRIVS, ...)
Failed to move to new namespace: PID namespaces supported, Network
namespace supported, but failed: errno = Operation not permitted

Отлично, говорят лечится

https://github.com/electron/electron/issues/17972:

$ sudo sysctl kernel.unprivileged_userns_clone=1

или https://github.com/jessfraz/dockerfiles/issues/65#issuecomment-266532289:

$ echo 'kernel.unprivileged_userns_clone=1' > /etc/sysctl.d/00-local-userns.conf
$ service procps restart

Но у нас такие штуки не проходят, естественно.
sysctl: cannot stat /proc/sys/kernel/unprivileged_userns_clone: No
such file or directory

И как быть?

Вот что они пишут:
------------
Here's an article I found describing the background of why it's not
enabled by default: Controlling access to user namespaces and here's
how to enable it (from Enable user namespaces in Debian kernel):
https://lwn.net/Articles/673597/
http://superuser.com/questions/1094597/enable-user-namespaces-in-debian-kernel
-------------

У меня p8 + Сизиф:

$ uname -a
                                (git)-[master]
Linux asus 4.9.133-std-def-alt0.M80P.1 #1 SMP Mon Oct 15 16:46:38 UTC
2018 x86_64 GNU/Linux

Может быть, нужен какой-то более свежий кернел? Может, в p9 это решено уже?

Где про эти юзер-неймспейсы у нас в Альте прочитать-узнать?


-- 
М.

http://diglossa.org