Firejail 0.9.62 Изолирано издание на приложението

След шест месеца разработка на разположение издание на проекта Firejail 0.9.62, в рамките на който се разработва система за изолирано изпълнение на графични, конзолни и сървърни приложения. Използването на Firejail ви позволява да минимизирате риска от компрометиране на основната система при стартиране на ненадеждни или потенциално уязвими програми. Програмата е написана на език C, разпространява се от лицензиран под GPLv2 и може да работи на всяка Linux дистрибуция с ядро, по-старо от 3.0. Готови пакети с Firejail подготвени във формати deb (Debian, Ubuntu) и rpm (CentOS, Fedora).

За изолация в Firejail са използвани пространства от имена, AppArmor и филтриране на системни повиквания (seccomp-bpf) в Linux. Веднъж стартирана, програмата и всички нейни дъщерни процеси използват отделни изгледи на ресурсите на ядрото, като мрежов стек, таблица на процеси и точки на монтиране. Приложенията, които са зависими едно от друго, могат да бъдат комбинирани в един общ пясъчник. Ако желаете, Firejail може да се използва и за стартиране на Docker, LXC и OpenVZ контейнери.

За разлика от инструментите за изолация на контейнери, противопожарната защита е изключително голяма лесно в конфигурацията и не изисква подготовка на системно изображение - съставът на контейнера се формира в движение въз основа на съдържанието на текущата файлова система и се изтрива след завършване на приложението. Осигурени са гъвкави средства за задаване на правила за достъп до файловата система; можете да определите кои файлове и директории са разрешени или отказани за достъп, да свържете временни файлови системи (tmpfs) за данни, да ограничите достъпа до файлове или директории само за четене, да комбинирате директории чрез bind-mount и overlayfs.

За голям брой популярни приложения, включително Firefox, Chromium, VLC и Transmission, готови профили изолиране на системни повиквания. За да получите привилегиите, необходими за настройка на среда в пясъчна среда, изпълнимият файл на firejail се инсталира с SUID root флаг (привилегиите се нулират след инициализация). За да стартирате програма в режим на изолация, просто посочете името на приложението като аргумент на помощната програма firejail, например „firejail firefox“ или „sudo firejail /etc/init.d/nginx start“.

В новата версия:

• В конфигурационния файл /etc/firejail/firejail.config добави file-copy-limit настройка, която ви позволява да ограничите размера на файловете, които ще бъдат копирани в паметта, когато използвате опциите „--private-*“ (по подразбиране ограничението е зададено на 500 MB).
• Шаблони за създаване на нови профили за ограничаване на приложения са добавени към директорията /usr/share/doc/firejail.
• Профилите позволяват използването на дебъгери.
• Подобрено филтриране на системни повиквания с помощта на механизма seccomp.
• Осигурено е автоматично откриване на флаговете на компилатора.
• Извикването на chroot вече не се прави въз основа на пътя, а чрез точки на монтиране въз основа на файловия дескриптор.
• Директорията /usr/share е в белия списък от различни профили.
• Нови помощни скриптове gdb-firejail.sh и sort.py са добавени към секцията conrib.
• Подобрена защита на етапа на изпълнение на привилегирован код (SUID).
• За профилите са внедрени нови условни атрибути HAS_X11 и HAS_NET за проверка на наличието на X сървър и достъп до мрежата.
• Добавени профили за стартиране на изолирано приложение (общият брой профили се увеличи до 884):
  • i2p,
  • tor-браузър (AUR),
  • Зулип,
  • rsync
  • signal-cli
  • tcpdump
  • акула,
  • qgis
  • OpenArena,
  • годо,
  • klatexformula,
  • klatexformula_cmdl,
  • връзки,
  • xlinks,
  • pandoc
  • екипи за линукс,
  • gnome-звукозаписващо устройство,
  • вестник,
  • keepassxc-cli,
  • keepassxc-прокси,
  • rhythmbox-клиент,
  • Джери
  • ревност,
  • mpg123,
  • conplay,
  • mpg123.bin,
  • mpg123-alsa,
  • mpg123-id3dump,
  • out123,
  • mpg123-жак,
  • mpg123-nas,
  • mpg123-отворено,
  • mpg123-oss,
  • mpg123-portaudio,
  • mpg123-пулс,
  • mpg123-лента,
  • pavucontrol-qt,
  • герои-гномове,
  • gnome-character-map,
  • Whalebird
  • tb-starter-wrapper,
  • bzcat,
  • kiwix-десктоп,
  • bzcat,
  • zstd,
  • pzstd,
  • zstdcat,
  • zstdgrep,
  • zstdless,
  • zstdmt,
  • unzstd,
  • ар,
  • гном-латекс,
  • pngquant
  • калгебра
  • kalgebramobile,
  • увлечен
  • kfind,
  • ругатни,
  • аудио-рекордер,
  • камерамонитор
  • ddgtk
  • drawio,
  • unf,
  • gmpc,
  • електронна поща,
  • същност,
  • гист-паста.

Източник: opennet.ru