Релиз на системата за изолиране на приложения Firejail 0.9.78

Публикувана версия на проекта Firejail 0.9.78, който развива система за изолирано изпълнение на графични, консолните и сървърни приложения, позволяваща минимизиране на риска от компрометиране на основната система при стартиране на недостойни за доверие или потенциално уязвими програми. Програмата е написана на C, разпространява се под лиценз GPLv2 и може да работи на всяко дистрибуция на Linux с ядро по-стара от 3.0. Готови пакети с Firejail са подготвени в формати deb (Debian, Ubuntu) и rpm (CentOS, Fedora).

За изолация в Firejail се използват пространства за имена (namespaces), AppArmor и филтриране на системни повиквания (seccomp-bpf) в Linux. След стартиране, програмата и всички нейни дъщерни процеси използват отделни представяния на ресурсите на ядрото, като мрежов стек, таблица с процеси и точки на монтиране. Взаимозависимите приложения могат да бъдат комбинирани в едно общо пясъчни кутии. При желание, Firejail може да се прилага и за стартиране на контейнери Docker, LXC и OpenVZ.

В отличие от средствата за контейнерна изолация, Firejail е изключително прост за конфигуриране и не изисква подготовка на системен образ – съставът на контейнера се оформя в движение на базата на съдържанието на текущата файлова система и се изтрива след приключване на работата на приложението. Предоставят се гъвкави средства за задаване на правила за достъп до файловата система, позволяващи определяне на това, до кои файлове и директории е разрешен или забранен достъп, свързване на временно файлови системи (tmpfs), ограничаване на достъпа до файлове или директории само за четене, комбиниране на директории чрез bind-mount и overlayfs.

За голям брой популярни приложения, включително Firefox, Chromium, VLC и Transmission, са подготвени готови профили за изолация на системни повиквания. За получаване на привилегиите, необходими за настройка на изолирана среда, изпълняемият файл firejail се инсталира с флага SUID root (след инициализация привилегиите се нулират). За изпълнение на програмата в режим на изолация е достатъчно да посочите името на приложението като аргумент на утилитата firejail, например, “firejail firefox” или “sudo firejail /etc/init.d/nginx start”.

В новото издание:

• В конфигурационния файл firejail.config са добавени опциите arg-max-count, arg-max-len, env-max-count и env-max-len, за да променят лимитите на броя и размера на командните параметри и променливите на средата. По подразбиране броят на аргументите е ограничен на 128, броят на променливите на средата на 256, а размерът на всеки аргумент е PATH_MAX от limits.h (в Linux 40196) + 32.
• Добавена е опция „—xephyr-extra-params“ за задаване на допълнителни опции към Xephyr (използва се за създаване на sandbox среди X11 с негов сървър X, работещ в прозорец) в командния ред без да се променя firejail.config.
• Инсталираната в sandbox среда утилита bwrap (bubblewrap) е заменена с прослойка fbwrap, която стартира програми без изолация, за да реши проблеми с пускането на Firefox, Thunderbird, GIMP поради извикването на glycin 2.0.0 от gdk-pixbuf2 с използване на bwrap. За копирането на bwrap вместо прослойка е добавена опция „—allow-bwrap“.
• Актуализирани са таблиците на системните извиквания за seccomp. Добавени са нови системни извиквания, като epoll_pwait2 и futex_wait.
• Премахната е опцията за изграждане „—disable-globalcfg“, прекратена е поддръжката на overlayfs („—overlay“) и режима IDS (Intrusion Detection System, „—ids“).
• Добавени са профили за изолация за текстовия редактор ne, браузъра Trivalent и игровите двигатели OpenRA, quakespasm, gzdoom, lzdoom, uzdoom.
• Актуализирани са профилите за thunderbird, wine, qutebrowser, firefox, godot, wusc, mullvad-browser, blink, steam, ssh, brave и hashcat.

Източник: opennet.ru