Пусната е система за изолация на приложения Firejail 0.9.78

Публикуван е релиз на проекта Firejail 0.9.78, развиваващ система за изолирано изпълнение на графични, конзолни и сървърни приложения, която минимизира риска от компрометиране на основната система при стартиране на ненадеждни или потенциално уязвими програми. Програмата е написана на езика Си, разпространява се под лицензия GPLv2 и работи на всеки дистрибутив на Linux с ядро по-ново от 3.0. Готови пакети с Firejail са подготвени в формати deb (Debian, Ubuntu) и rpm (CentOS, Fedora).

За изолиране в Firejail се използват пространства от имена (namespaces), AppArmor и филтрация на системни повиквания (seccomp-bpf) в Linux. След стартиране, програмата и всички нейни дъщерни процеси използват отделни представяния на ресурсите на ядрото, като мрежови стек, таблица на процесите и точки на монтиране. Свързаните помежду си приложения могат да бъдат обединявани в един общ sandbox. При желание Firejail може да се прилага и за стартиране на контейнери Docker, LXC и OpenVZ.

В отличие от средствата за контейнерна изолация, Firejail е изключително прост за конфигурация и не изисква подготвяне на системен образ — съставът на контейнера се формира на мига на базата на съдържанието на текущата файловата система и се изтрива след завършване на работата на приложението. Предоставят се гъвкави инструменти за задаване на правила за достъп до файловата система, които определят до какви файлове и директории е разрешен или забранен достъп, свързването на променливи файлови системи (tmpfs), ограничаване на достъпа до файлове или директории само за четене, комбиниране на директории чрез bind-mount и overlayfs.

За голям брой популярни приложения, включително Firefox, Chromium, VLC и Transmission, са подготвени готови профили за изолация на системни повиквания. За получаване на привилегии, необходими за настройка на изолирана среда, изпълнимият файл firejail се инсталира с флага SUID root (след инициализация привилегиите се сбросват). За изпълнение на програмата в режим на изолация е достатъчно да се посочи името на приложението като аргумент на утилитата firejail, например, "firejail firefox" или "sudo firejail /etc/init.d/nginx start".

В новото издание:

• В конфигурационния файл firejail.config са добавени опциите arg-max-count, arg-max-len, env-max-count и env-max-len за промяна на лимитите на броя и размера на параметрите на командния ред и променливите на средата. По подразбиране, броят на аргументите е ограничен на 128, броят на променливите на средата на 256, а размерът на всеки аргумент е PATH_MAX от limits.h (в Linux 40196) + 32.
• Добавена е опцията «—xephyr-extra-params» за задаване на допълнителни опции към Xephyr (използва се за създаване на sandbox-среда X11 със собствен X-сервер, стартиран в прозорец) в командния ред без изменение на firejail.config.
• Утилитата bwrap (bubblewrap), инсталирана в sandbox-среда, е заменена с промеждутък fbwrap, който стартира програми без изолация за разрешаване на проблеми със стартирането на Firefox, Thunderbird, GIMP поради извикването на glycin 2.0.0 от gdk-pixbuf2 с използване на bwrap. За копиране вместо промеждутък е добавена опцията «—allow-bwrap».
• Обновени са таблиците на системните повици за seccomp. Добавени са нови системни повици, като epoll_pwait2 и futex_wait.
• Събиращата опция «—disable-globalcfg» е премахната, поддръжката на overlayfs («—overlay») и режим IDS (Intrusion Detection System, «—ids») е прекратена.
• Добавени са профили за изолация за текстовия редактор ne, браузъра Trivalent и игровите движещи механизми OpenRA, quakespasm, gzdoom, lzdoom, uzdoom.
• Обновени са профилите за thunderbird, wine, qutebrowser, firefox, godot, wusc, mullvad-browser, blink, steam, ssh, brave и hashcat.

Източник: opennet.ru