Издаден е Firejail 0.9.72 — система за изолация на приложения

Опубликован релиз проекта Firejail 0.9.72, развивающего систему для изолированного выполнения графических, консольных и серверных приложений, позволяющую минимизировать риск компрометации основной системы при запуске не заслуживающих доверия или потенциально уязвимых программ. Программа написана на языке Си, распространяется под лицензией GPLv2 и может работать в любом дистрибутиве Linux с ядром старше 3.0. Готовые пакеты с Firejail подготовлены в форматах deb (Debian, Ubuntu) и rpm (CentOS, Fedora).

За изолация в Firejail се използват пространства за имена (namespaces), AppArmor и филтриране на системни повиквания (seccomp-bpf) в Linux. След стартиране, програмата и всички нейни дъщерни процеси използват отделни представяния на ресурсите на ядрото, като мрежов стек, таблица с процеси и точки на монтиране. Взаимозависимите приложения могат да бъдат комбинирани в едно общо пясъчни кутии. При желание, Firejail може да се прилага и за стартиране на контейнери Docker, LXC и OpenVZ.

В отличие от средств контейнерной изоляции firejail предельно прост в конфигурации и не требует подготовки системного образа — состав контейнера формируется на лету на основе содержимого текущей ФС и удаляется после завершения работы приложения. Предоставляются гибкие средства задания правил доступа к файловой системе, можно определять к каким файлами и директориям разрешён или запрещён доступ, подключать для данных временные ФС (tmpfs), ограничивать доступ к файлам или директориям только на чтение, совмещать директории через bind-mount и overlayfs.

За голям брой популярни приложения, включително Firefox, Chromium, VLC и Transmission, са подготвени готови профили за изолация на системни повиквания. За получаване на привилегиите, необходими за настройка на изолирана среда, изпълняемият файл firejail се инсталира с флага SUID root (след инициализация привилегиите се нулират). За изпълнение на програмата в режим на изолация е достатъчно да посочите името на приложението като аргумент на утилитата firejail, например, “firejail firefox” или “sudo firejail /etc/init.d/nginx start”.

В новото издание:

• Добавлен seccomp-фильтр системных вызовов, блокирующий создания пространств имён (для включения добавлена опция «—restrict-namespaces»). Обновлены таблицы системных вызовов и группы seccomp.
• Улучшен режим force-nonewprivs (NO_NEW_PRIVS), запрещающий получение дополнительных привилегий в новых процессах.
• Добавлена возможность использования собственных профилей AppArmor (для подключения предложена опция «—apparmor»).
• В системе отслеживания сетевого трафика nettrace, которая отображает сведения об IP и интенсивности трафика с каждого адреса, реализована поддержка ICMP и предложены опции «—dnstrace», «—icmptrace» и «—snitrace».
• Удалены команды —cgroup и —shell (по умолчанию применяется —shell=none). По умолчанию прекращена сборка firetunnel. Отключены настройки chroot, private-lib и tracelog в /etc/firejail/firejail.config. Прекращена поддержка grsecurity.

Източник: opennet.ru