====== Bubble wrap ======
Autore: **//Fabio Di Matteo//** \\ Ultima revisione:  **//  03/10/2026 17:46   //**  // //

Bubblewrap (`bwrap`) è uno strumento Linux per eseguire programmi in una **sandbox**, isolandoli parzialmente dal sistema tramite namespace.  
È usato, ad esempio, da Flatpak e altri programmi per limitare l’accesso a file, processi, rete e risorse del sistema.
Alcune note sull'utilizzo. Avvio una sandbox alpine in questo caso.


<note>In questo repository ho messo degli script capaci di creare la sandbox (auto-alpine-sandbox) lanciando un singolo comando:  [[https://www.freemedialab.org/code/project.php?p=auto-scripts|Auto-script]]</note>

Assumendo che in $ROOTFS ci sia un intero sistema chrootatto. Come per esempio un' Alpine Linux.
Esempio:
<code>./run.sh firefox</code>
con questo script:
<code bash>
# #!/usr/bin/env bash

ROOTFS="$PWD/ctr"

bwrap \
  --die-with-parent \
  --bind "$ROOTFS" / \
  --unshare-user \
  --uid 1000 \
  --dev /dev \
  --proc /proc \
  --tmpfs /tmp \
  --ro-bind /tmp/.X11-unix /tmp/.X11-unix \
  --bind /dev/snd /dev/snd \
  --bind /run/user/1000 /run/user/1000 \
  --ro-bind /etc/resolv.conf /etc/resolv.conf \
 --setenv HOME /home/user $1

</code>

** Tenere presente che il primo Bind deve essere quello della root (/) e a seguire gli altri. Altrimenti il bind della root sovrascrive tutti gli altri **

===== Creare un lanciatore per un'applicazione installata =====

<code ini>
#!/usr/bin/env xdg-open
[Desktop Entry]
Version=1.0
Type=Application
Terminal=true
Name[it_IT]=Alpine sandbox
Path=/home/fabio/alpine/
Exec=/home/fabio/alpine/shell.sh
Comment[it_IT]=Una sandbox alpine con bubble wrap
Icon=yakuake
Icon[it_IT]=yakuake
Name=Alpine sandbox
Comment=Una sandbox alpine con bubble wrap
</code>

Avvio lo script **shell.sh** e imposto la cartella corrente con la direttiva **Path=...**

====== Abilitare audio ======
Installare client per l'audio dentro la sandbox:
<file>apk add pulseaudio-utils pipewire-pulse alsa-utils
</file>

Mountare 1:1 la cartella /run/user/1000 e /dev/snd con  
<file>
--bind /dev/snd /dev/snd 
--bind /run/user/1000 /run/user/1000
</file>

===== Abilitare/disabilitare capacità del container =====


Esempio di utilizzo:

Per disabilitare una capability si usa invece:

<code>--cap-drop CAP_NET_RAW</code>

Per disabilitarle tutte:

<code>--cap-drop ALL</code>

Per abilitarne una soltanto partendo da zero:

<code>bwrap --cap-drop ALL --cap-add CAP_NET_BIND_SERVICE ...</code>

^ Capability ^ Funzione principale ^ Esempio con bwrap ^
| <code>CAP_AUDIT_CONTROL</code> | Configurare il sottosistema Linux Audit | <code>--cap-add CAP_AUDIT_CONTROL</code> |
| <code>CAP_AUDIT_READ</code> | Leggere gli eventi di audit | <code>--cap-add CAP_AUDIT_READ</code> |
| <code>CAP_AUDIT_WRITE</code> | Scrivere eventi nel log di audit | <code>--cap-add CAP_AUDIT_WRITE</code> |
| <code>CAP_BLOCK_SUSPEND</code> | Impedire o ritardare la sospensione | <code>--cap-add CAP_BLOCK_SUSPEND</code> |
| <code>CAP_BPF</code> | Eseguire operazioni BPF privilegiate | <code>--cap-add CAP_BPF</code> |
| <code>CAP_CHECKPOINT_RESTORE</code> | Supportare checkpoint e restore dei processi | <code>--cap-add CAP_CHECKPOINT_RESTORE</code> |
| <code>CAP_CHOWN</code> | Cambiare arbitrariamente proprietario e gruppo dei file | <code>--cap-add CAP_CHOWN</code> |
| <code>CAP_DAC_OVERRIDE</code> | Ignorare i normali controlli di permesso sui file | <code>--cap-add CAP_DAC_OVERRIDE</code> |
| <code>CAP_DAC_READ_SEARCH</code> | Ignorare i controlli di lettura e attraversamento directory | <code>--cap-add CAP_DAC_READ_SEARCH</code> |
| <code>CAP_FOWNER</code> | Ignorare alcuni controlli riservati al proprietario | <code>--cap-add CAP_FOWNER</code> |
| <code>CAP_FSETID</code> | Preservare i bit setuid e setgid dei file | <code>--cap-add CAP_FSETID</code> |
| <code>CAP_IPC_LOCK</code> | Bloccare pagine di memoria e usare IPC privilegiato | <code>--cap-add CAP_IPC_LOCK</code> |
| <code>CAP_IPC_OWNER</code> | Ignorare i permessi sulle operazioni System V IPC | <code>--cap-add CAP_IPC_OWNER</code> |
| <code>CAP_KILL</code> | Inviare segnali a processi senza esserne proprietario | <code>--cap-add CAP_KILL</code> |
| <code>CAP_LEASE</code> | Creare lease sui file | <code>--cap-add CAP_LEASE</code> |
| <code>CAP_LINUX_IMMUTABLE</code> | Modificare attributi immutabili e append-only | <code>--cap-add CAP_LINUX_IMMUTABLE</code> |
| <code>CAP_MAC_ADMIN</code> | Amministrare sistemi Mandatory Access Control | <code>--cap-add CAP_MAC_ADMIN</code> |
| <code>CAP_MAC_OVERRIDE</code> | Ignorare i controlli Mandatory Access Control | <code>--cap-add CAP_MAC_OVERRIDE</code> |
| <code>CAP_MKNOD</code> | Creare file speciali con <code>mknod</code> | <code>--cap-add CAP_MKNOD</code> |
| <code>CAP_NET_ADMIN</code> | Configurare rete, interfacce, routing e firewall | <code>--cap-add CAP_NET_ADMIN</code> |
| <code>CAP_NET_BIND_SERVICE</code> | Usare porte inferiori alla 1024 | <code>--cap-add CAP_NET_BIND_SERVICE</code> |
| <code>CAP_NET_BROADCAST</code> | Inviare pacchetti broadcast e multicast | <code>--cap-add CAP_NET_BROADCAST</code> |
| <code>CAP_NET_RAW</code> | Usare socket RAW e packet socket | <code>--cap-add CAP_NET_RAW</code> |
| <code>CAP_PERFMON</code> | Usare il performance monitoring privilegiato | <code>--cap-add CAP_PERFMON</code> |
| <code>CAP_SETFCAP</code> | Assegnare capabilities ai file | <code>--cap-add CAP_SETFCAP</code> |
| <code>CAP_SETGID</code> | Modificare il GID e i gruppi supplementari | <code>--cap-add CAP_SETGID</code> |
| <code>CAP_SETPCAP</code> | Modificare alcuni capability set dei processi | <code>--cap-add CAP_SETPCAP</code> |
| <code>CAP_SETUID</code> | Modificare l’UID e l’identità del processo | <code>--cap-add CAP_SETUID</code> |
| <code>CAP_SYS_ADMIN</code> | Eseguire numerose operazioni amministrative, inclusi mount e namespace | <code>--cap-add CAP_SYS_ADMIN</code> |
| <code>CAP_SYS_BOOT</code> | Eseguire operazioni di reboot e boot | <code>--cap-add CAP_SYS_BOOT</code> |
| <code>CAP_SYS_CHROOT</code> | Usare <code>chroot</code> | <code>--cap-add CAP_SYS_CHROOT</code> |
| <code>CAP_SYS_MODULE</code> | Caricare e rimuovere moduli del kernel | <code>--cap-add CAP_SYS_MODULE</code> |
| <code>CAP_SYS_NICE</code> | Modificare priorità, scheduling e CPU affinity | <code>--cap-add CAP_SYS_NICE</code> |
| <code>CAP_SYS_PACCT</code> | Abilitare o disabilitare il process accounting | <code>--cap-add CAP_SYS_PACCT</code> |
| <code>CAP_SYS_PTRACE</code> | Eseguire tracing e debugging dei processi | <code>--cap-add CAP_SYS_PTRACE</code> |
| <code>CAP_SYS_RAWIO</code> | Eseguire operazioni di I/O hardware raw | <code>--cap-add CAP_SYS_RAWIO</code> |
| <code>CAP_SYS_RESOURCE</code> | Superare alcuni limiti delle risorse di sistema | <code>--cap-add CAP_SYS_RESOURCE</code> |
| <code>CAP_SYS_TIME</code> | Modificare l’orologio di sistema | <code>--cap-add CAP_SYS_TIME</code> |
| <code>CAP_SYS_TTY_CONFIG</code> | Configurare terminali virtuali | <code>--cap-add CAP_SYS_TTY_CONFIG</code> |
| <code>CAP_SYSLOG</code> | Eseguire operazioni privilegiate su <code>syslog</code> | <code>--cap-add CAP_SYSLOG</code> |
| <code>CAP_WAKE_ALARM</code> | Usare timer capaci di risvegliare il sistema | <code>--cap-add CAP_WAKE_ALARM</code> |