Efter seks måneders udvikling projektudgivelse , som udvikler et system til isoleret kørsel af grafiske, konsol- og serverapplikationer. Brugen af Firejail mindsker risikoen for kompromittering af hovedsystemet ved kørsel af mistænkelige eller potentielt sårbare programmer. Programmet er skrevet i C-sprog, under GPLv2-licensen og kan køre på enhver Linux-distribution med en kernel ældre end 3.0. Klar pakker med Firejail i deb (Debian, Ubuntu) og rpm (CentOS, Fedora) formater.
Til isolering i Firejail navneområder (namespaces), AppArmor og filtrering af systemopkald (seccomp-bpf) i Linux. Efter opstart bruger programmet og alle dets børneprocesser separate visninger af kerneressourcer som netværksstakken, proceslisten og monteringspunkter. Afhængige applikationer kan sammenlægges i et fælles sandkasse. Firejail kan også anvendes til at køre Docker, LXC og OpenVZ containere, hvis ønskes.
I modsætning til containeriseringsværktøjer er firejail ekstremt i konfigurationen og kræver ikke forberedelse af et systembillede — sammensætningen af containere dannes dynamisk baseret på indholdet af det aktuelle filsystem og fjernes efter programmets afslutning. Der tilbydes fleksible midler til at angive adgangsregler til filsystemet, så det er muligt at bestemme, hvilke filer og mapper der er tilladt eller forbudt adgang til, tilslutte midlertidige filsystemer (tmpfs) til data, begrænse adgang til filer eller mapper kun til læsning og sammenflette mapper via bind-mount og overlayfs.
Til et stort antal populære applikationer, herunder Firefox, Chromium, VLC og Transmission, er der forberedt færdige isolation af systemopkald. For at opnå de nødvendige privilegier til at konfigurere et isoleret miljø, installeres den eksekverbare fil firejail med SUID root-flaget (privilegierne nulstilles efter initialisering). For at køre programmet i isolationsmodus er det nok at angive programmets navn som et argument til firejail-værktøjet, eksempelvis «firejail firefox» eller «sudo firejail /etc/init.d/nginx start».
I den nye version:
- I konfigurationsfilen /etc/firejail/firejail.config parameteren file-copy-limit, der gør det muligt at begrænse størrelsen på de filer, der vil blive kopieret til hukommelsen ved brug af indstillingerne «—private-*» (standardgrænsen er sat til 500MB).
- I mappen /usr/share/doc/firejail er der tilføjet skabeloner til oprettelse af nye profiler til applikationsbegrænsning.
- I profilerne er brug af fejlfindingsværktøjer (debuggers) tilladt.
- Filtreringen af systemopkald er forbedret ved hjælp af seccomp-mekanismen.
- Automatisk registrering af compiler-flags er sikret.
- Opkaldet til chroot udføres nu ikke baseret på stien, men ved at anvende monteringspunkter baseret på filbeskriver.
- Mappen /usr/share er blevet hvidlistet i forskellige profiler.
- Nye hjælpe-scripts gdb-firejail.sh og sort.py er tilføjet i conrib-sektionen.
- Beskyttelsen af privilegeret kode (SUID) er blevet styrket under udførelsen.
- For profilerne er der implementeret nye betingede egenskaber HAS_X11 og HAS_NET til at kontrollere tilgængeligheden af en X-server og netværksadgang.
- Profiler til isoleret kørsel af applikationer er tilføjet (det samlede antal profiler er steget til 884):
- i2p,
- tor-browser (AUR),
- Zulip,
- rsync,
- signal-cli,
- tcpdump,
- tshark,
- qgis,
- OpenArena,
- godot,
- klatexformula,
- klatexformula_cmdl,
- links,
- xlinks,
- pandoc,
- teams-for-linux,
- gnome-sound-recorder,
- newsbeuter,
- keepassxc-cli,
- keepassxc-proxy,
- rhythmbox-client,
- jerry,
- zeal,
- mpg123,
- conplay,
- mpg123.bin,
- mpg123-alsa,
- mpg123-id3dump,
- out123,
- mpg123-jack,
- mpg123-nas,
- mpg123-openal,
- mpg123-oss,
- mpg123-portaudio,
- mpg123-pulse,
- mpg123-strip,
- pavucontrol-qt,
- gnome-characters,
- gnome-character-map,
- Whalebird,
- tb-starter-wrapper,
- bzcat,
- kiwix-desktop,
- bzcat,
- zstd,
- pzstd,
- zstdcat,
- zstdgrep,
- zstdless,
- zstdmt,
- unzstd,
- ar,
- gnome-latex,
- pngquant,
- kalgebra,
- kalgebramobile,
- amuled,
- kfind,
- profanity,
- audio-recorder,
- cameramonitor,
- ddgtk,
- drawio,
- unf,
- gmpc,
- electron-mail,
- gist,
- gist-paste.
Kilde: opennet.ru
