Udgivet udgaven af projektet Firejail 0.9.72, der udvikler et system til isoleret udførelse af grafiske, konsol- og serverapplikationer, hvilket muliggør at minimere risikoen for kompromittering af det primære system ved kørsel af upålidelige eller potentielt sårbare programmer. Programmet er skrevet i C og distribueres under GPLv2-licensen og kan køre på enhver Linux-distribution med en kerne ældre end 3.0. Færdige pakker med Firejail er tilgængelige i deb-formater (Debian, Ubuntu) og rpm (CentOS, Fedora).
Firejail bruger navnerum (namespaces), AppArmor og filtrering af systemopkald (seccomp-bpf) i Linux til isolering. Efter opstart bruger programmet og alle dets underordnede processer separate visninger af kerneressourcer, såsom netværksstak, proces tabel og monteringspunkter. Afhængige applikationer kan samles i en fælles sandbox. Firejail kan også anvendes til at køre Docker-containere, LXC og OpenVZ.
I modsætning til containeriseringsværktøjer er Firejail ekstremt enkelt at konfigurere og kræver ikke tilberedning af et systembillede — sammensætningen af containeren dannes dynamisk baseret på indholdet af det nuværende filsystem og fjernes efter fuldførelse af applikationen. Der tilbydes fleksible værktøjer til at angive adgangsregler for filsystemet, så det er muligt at bestemme, hvilke filer og mapper der er tilladt eller forbudt adgang til, og tilkoble midlertidige filsystemer (tmpfs) for data, begrænse adgang til filer eller mapper til kun at være læse-mulighed, samt kombinere mapper via bind-mount og overlayfs.
Der er forberedt klare profiler til systemopkaldsisolering for et stort antal populære applikationer, herunder Firefox, Chromium, VLC og Transmission. For at opnå de nødvendige privilegier til at konfigurere det isolerede miljø installeres den eksekverbare fil firejail med SUID root-flaget (privilegierne nulstilles efter initialization). For at køre programmet i isoleringsmode er det nok at angive applikationens navn som et argument til firejail-værktøjet, for eksempel "firejail firefox" eller "sudo firejail /etc/init.d/nginx start".
I den nye version:
- Tilføjet seccomp-filter for systemopkald, der blokerer for oprettelse af navnerum (muligheden '—restrict-namespaces' er tilføjet for at aktivere dette). Oplysningslisterne for systemopkald og seccomp-grupper er opdateret.
- Forbedret tilstanden force-nonewprivs (NO_NEW_PRIVS), som forhindrer opnåelsen af yderligere privilegier i nye processer.
- Tilføjet mulighed for at bruge egne AppArmor-profiler (muligheden '—apparmor' er foreslået til tilslutning).
- I det netværksovervågningssystem nettrace, der viser oplysninger om IP og trafikintensiteten fra hver adresse, er der implementeret støtte til ICMP, og der tilbydes mulighederne '—dnstrace', '—icmptrace' og '—snitrace'.
- Fjernede kommandoerne —cgroup og —shell (standardindstillingen er —shell=none). Standard er samlingen af firetunnel stoppet. Indstillingerne chroot, private-lib og tracelog er deaktiveret i /etc/firejail/firejail.config. Støtten til grsecurity er stoppet.
Kilde: opennet.ru
