Издание на системата за изолация на приложения Firejail 0.9.62

След шестмесечно разработване е наличен релиz на проекта Firejail 0.9.62, в рамките на която се развива система за изолирано изпълнение на графични, конзолни и сървърни приложения. Използването на Firejail позволява минимизиране на риска от компрометирането на основната система при стартиране на недоверителни или потенциално уязвими програми. Програмата е написана на C, разпространява под лиценз GPLv2 и може да работи в всяко Linux дистрибуция с ядро по-старх 3.0. Готови пакети с Firejail са подготвени в форматите deb (Debian, Ubuntu) и rpm (CentOS, Fedora).

За изолация в Firejail се използват пространства имена (namespaces), AppArmor и филтрация системни повиквания (seccomp-bpf) в Linux. След стартиране, програмата и всички нейни дъщерни процеси използват отделни представяния на ресурсите на ядрото, като мрежов стек, таблица на процесите и точки на монтиране. Взаимозависимите приложения могат да се обединят в един общ sandbox. При желание Firejail може да се използва и за стартиране на контейнери Docker, LXC и OpenVZ.

В сравнение със средствата за контейнерна изолация, Firejail е крайно прост в конфигурацията и не изисква подготвяне на системен образ — съставът на контейнера се формира на лето на базата на съдържанието на текущата файлова система и се изтрива след приключване на работата на приложението. Предоставят се гъвкави средства за задаване на правила за достъп до файловата система, може да се определя до какви файлове и директории е разрешен или забранен достъп, да се свързват временни файлови системи (tmpfs) за данни, да се ограничава достъпът до файлове или директории само за четене, да се комбинират директории чрез bind-mount и overlayfs.

За голям брой популярни приложения, включително Firefox, Chromium, VLC и Transmission, са подготвени готови профили изолация на системни повиквания. За получаване на привилегиите, необходими за настройка на изолирана среда, изпълнимият файл firejail се задава с флага SUID root (след инициализация привилегиите се нулират). За изпълнение на програмата в режим на изолация е достатъчно да се укаже името на приложението като аргумент на утилитата firejail, например, «firejail firefox» или «sudo firejail /etc/init.d/nginx start».

В новото издание:

• В конфигурационния файл /etc/firejail/firejail.config е добавена настройка file-copy-limit, позволяваща да се ограничи размерът на файловете, които ще бъдат копирани в паметта при използване на опции «—private-*» (по подразбиране лимитът е зададен на 500MB).
• В каталога /usr/share/doc/firejail добавени шаблони за създаване на нови профили за ограничение на приложения.
• В профилите е разрешено използването на отладчици.
• Подобренa филтрация на системни повиквания с помощта на механизма seccomp.
• Осигурено автоопределяне на флаговете на компилатора.
• Викът chroot сега се извършва не на базата на път, а с помощта на точки на монтиране, базирани на файлов дескриптор.
• Каталогът /usr/share е включен в бял списък на различни профили.
• В секция conrib добавени нови помощни скриптове gdb-firejail.sh и sort.py.
• Укрепена защита на етапа на изпълнение на привилегирания код (SUID).
• За профилите реализирани нови условни признаци HAS_X11 и HAS_NET за проверка на наличието на X-сървър и мрежов достъп.
• Добавени профили за изолирано стартиране на приложения (общият брой на профилите достигна 884):
  • i2p,
  • tor-browser (AUR),
  • Zulip,
  • rsync,
  • signal-cli,
  • tcpdump,
  • tshark,
  • qgis,
  • OpenArena,
  • godot,
  • klatexformula,
  • klatexformula_cmdl,
  • links,
  • xlinks,
  • pandoc,
  • teams-for-linux,
  • gnome-sound-recorder,
  • newsbeuter,
  • keepassxc-cli,
  • keepassxc-proxy,
  • rhythmbox-client,
  • jerry,
  • zeal,
  • mpg123,
  • conplay,
  • mpg123.bin,
  • mpg123-alsa,
  • mpg123-id3dump,
  • out123,
  • mpg123-jack,
  • mpg123-nas,
  • mpg123-openal,
  • mpg123-oss,
  • mpg123-portaudio,
  • mpg123-pulse,
  • mpg123-strip,
  • pavucontrol-qt,
  • gnome-characters,
  • gnome-character-map,
  • Whalebird,
  • tb-starter-wrapper,
  • bzcat,
  • kiwix-desktop,
  • bzcat,
  • zstd,
  • pzstd,
  • zstdcat,
  • zstdgrep,
  • zstdless,
  • zstdmt,
  • unzstd,
  • ar,
  • gnome-latex,
  • pngquant,
  • kalgebra,
  • kalgebramobile,
  • amuled,
  • kfind,
  • profanity,
  • audio-recorder,
  • cameramonitor,
  • ddgtk,
  • drawio,
  • unf,
  • gmpc,
  • electron-mail,
  • gist,
  • gist-paste.

Източник: opennet.ru