Издаването на системата за изолация на приложения Firejail 0.9.72

Публикуван е релиз на проекта Firejail 0.9.72, който развива система за изолирано изпълнение на графични, конзолни и сървърни приложения, позволяваща минимизиране на риска от компрометиране на основната система при стартиране на ненадеждни или потенциално уязвими програми. Програмата е написана на C и се разпространява под лиценз GPLv2, откъдето може да работи в който и да е дистрибутив на Linux с ядро по-стари от 3.0. Готови пакети с Firejail са подготвени във форматите deb (Debian, Ubuntu) и rpm (CentOS, Fedora).

За изолиране в Firejail се използват пространства от имена (namespaces), AppArmor и филтрация на системни повиквания (seccomp-bpf) в Linux. След стартиране, програмата и всички нейни дъщерни процеси използват отделни представяния на ресурсите на ядрото, като мрежови стек, таблица на процесите и точки на монтиране. Свързаните помежду си приложения могат да бъдат обединявани в един общ sandbox. При желание Firejail може да се прилага и за стартиране на контейнери Docker, LXC и OpenVZ.

В отличие от средствата за контейнерна изолация, firejail е изключително прост за конфигуриране и не изисква подготовка на системен образ — съставът на контейнера се формира на момента на база на съдържанието на текущата файлова система и се премахва след приключване на работата на приложението. Предоставят се гъвкави средства за задаване на правила за достъп до файлова система, което позволява определяне на файлове и директории, до които достъпът е разрешен или забранен, свързване на временни файлови системи (tmpfs) за данни, ограничаване на достъпа до файлове или директории само за четене, комбиниране на директории чрез bind-mount и overlayfs.

За голям брой популярни приложения, включително Firefox, Chromium, VLC и Transmission, са подготвени готови профили за изолация на системни повиквания. За получаване на привилегии, необходими за настройка на изолирана среда, изпълнимият файл firejail се инсталира с флага SUID root (след инициализация привилегиите се сбросват). За изпълнение на програмата в режим на изолация е достатъчно да се посочи името на приложението като аргумент на утилитата firejail, например, "firejail firefox" или "sudo firejail /etc/init.d/nginx start".

В новото издание:

• Добавен е seccomp-филтър на системните повици, който блокира създаването на пространства на имена (за включването е добавена опция „—restrict-namespaces“). Актуализирани са таблиците на системните повици и групите seccomp.
• Подобрен е режимът force-nonewprivs (NO_NEW_PRIVS), който забранява получаването на допълнителни привилегии в новите процеси.
• Добавена е възможността за използване на собствени профили AppArmor (предложена е опция „—apparmor“ за свързване).
• В системата за проследяване на мрежовия трафик nettrace, която показва информация за IP и интензитета на трафика от всеки адрес, е реализирана поддръжка на ICMP и предложени опции „—dnstrace“, „—icmptrace“ и „—snitrace“.
• Премахнати са командите —cgroup и —shell (по подразбиране е приложена —shell=none). По подразбиране е прекратена сборката firetunnel. Деактивирани са настройките chroot, private-lib и tracelog в /etc/firejail/firejail.config. Прекратена е поддръжката на grsecurity.

Източник: opennet.ru