Издание на системата за изолация на приложения Firejail 0.9.62

След шест месеца разработка е наличен релиз на проекта Firejail 0.9.62, в рамките на която се развива система за изолирано изпълнение на графични, конзолни и сървърни приложения. Приложението Firejail позволява минимизиране на риска от компрометиране на основната система при стартиране на ненадеждни или потенциално уязвими програми. Програмата е написана на езика Си, се разпространява под лиценз GPLv2 и може да работи в любой дистрибутив на Linux с ядро по-старо от 3.0. Готовите пакети с Firejail подготвени в формати deb (Debian, Ubuntu) и rpm (CentOS, Fedora).

За изолация в Firejail се използват пространства имён (namespaces), AppArmor и филтриране на системни повици (seccomp-bpf) в Linux. След стартиране, програмата и всички нейни дъщерни процеси използват отделни представяния на ресурсите на ядрото, като мрежов стек, таблица с процеси и точки на монтиране. Свързани приложения могат да бъдат комбинирани в един общ пясъчник. При желание, Firejail може да се използва и за стартиране на контейнери Docker, LXC и OpenVZ.

В противоречие на инструментите за контейнерна изолация, firejail е изключително прост в конфигурацията и не изисква подготовка на системен имидж — съставът на контейнера се формира на място въз основа на съдържанието на текущата файлова система и се изтрива след приключване на работата на приложението. Осигурени са гъвкави средства за задаване на правила за достъп до файлова система, можете да определяте до кои файлове и директории е разрешен или забранен достъпът, да свързвате за данни времеви файлови системи (tmpfs), да ограничавате достъпа до файлове или директории само до четене, да комбинирате директории чрез bind-mount и overlayfs.

За голям брой популярни приложения, включително Firefox, Chromium, VLC и Transmission, са подготвени профили изолация на системните повици. За получаване на привилегиите, необходими за настройка на изолирана среда, изпълнимият файл firejail се инсталира с флага SUID root (след инициализацията привилегиите се сбрасыват). За изпълнение на програмата в режим на изолация е достатъчно да посочите името на приложението като аргумент на утилитата firejail, например, „firejail firefox“ или „sudo firejail /etc/init.d/nginx start“.

В новото издание:

• В конфигурационния файл /etc/firejail/firejail.config е добавена настройка file-copy-limit, позволяваща да се ограничи размерът на файловете, които ще бъдат копирани в паметта при използване на опции „—private-*“ (по подразбиране ограничението е зададено на 500MB).
• В каталога /usr/share/doc/firejail са добавени шаблони за създаване на нови профили за ограничаване на приложенията.
• В профилите е разрешено използването на отладчици.
• Подобрена е филтрацията на системните повици с помощта на механизма seccomp.
• Осигурено е автоматично разпознаване на флаговете на компилатора.
• Викът chroot вече се извършва не на базата на пътя, а чрез използване на точки на монтиране на базата на файлов дескриптор.
• Каталогът /usr/share е включен в бял списък на разнообразни профили.
• В секцията contrib са добавени нови помощни скриптове gdb-firejail.sh и sort.py.
• Усилена е защитата по време на изпълнението на привилегирования код (SUID).
• За профилите са реализирани нови условни характеристики HAS_X11 и HAS_NET за проверка на наличието на X-сървър и мрежов достъп.
• Добавени са профили за изолирано стартиране на приложения (общият брой на профилите е увеличен до 884):
  • i2p,
  • tor-browser (AUR),
  • Zulip,
  • rsync,
  • signal-cli,
  • tcpdump,
  • tshark,
  • qgis,
  • OpenArena,
  • godot,
  • klatexformula,
  • klatexformula_cmdl,
  • links,
  • xlinks,
  • pandoc,
  • teams-for-linux,
  • gnome-sound-recorder,
  • newsbeuter,
  • keepassxc-cli,
  • keepassxc-proxy,
  • rhythmbox-client,
  • jerry,
  • zeal,
  • mpg123,
  • conplay,
  • mpg123.bin,
  • mpg123-alsa,
  • mpg123-id3dump,
  • out123,
  • mpg123-jack,
  • mpg123-nas,
  • mpg123-openal,
  • mpg123-oss,
  • mpg123-portaudio,
  • mpg123-pulse,
  • mpg123-strip,
  • pavucontrol-qt,
  • gnome-characters,
  • gnome-character-map,
  • Whalebird,
  • tb-starter-wrapper,
  • bzcat,
  • kiwix-desktop,
  • bzcat,
  • zstd,
  • pzstd,
  • zstdcat,
  • zstdgrep,
  • zstdless,
  • zstdmt,
  • unzstd,
  • ar,
  • gnome-latex,
  • pngquant,
  • kalgebra,
  • kalgebramobile,
  • amuled,
  • kfind,
  • profanity,
  • audio-recorder,
  • cameramonitor,
  • ddgtk,
  • drawio,
  • unf,
  • gmpc,
  • electron-mail,
  • gist,
  • gist-paste.

Източник: opennet.ru