Udgivelsen af projektet Firejail 0.9.78 er offentliggjort, som udvikler et system til isoleret udførelse af grafiske, konsol- og serverapplikationer, hvilket minimerer risikoen for kompromittering af det primære system ved kørsel af mistænkelige eller potentielt sårbare programmer. Programmet er skrevet i C, distribueres under GPLv2-licensen og kan køre på enhver Linux-distribution med en kerne ældre end 3.0. Klargjorte pakker med Firejail er forberedt i deb-format (Debian, Ubuntu) og rpm-format (CentOS, Fedora).
Firejail bruger navnerum (namespaces), AppArmor og filtrering af systemopkald (seccomp-bpf) i Linux til isolering. Efter opstart bruger programmet og alle dets underordnede processer separate visninger af kerneressourcer, såsom netværksstak, proces tabel og monteringspunkter. Afhængige applikationer kan samles i en fælles sandbox. Firejail kan også anvendes til at køre Docker-containere, LXC og OpenVZ.
I modsætning til containerisolationsværktøjer er firejail ekstremt enkelt at konfigurere og kræver ikke forberedelse af et systembillede — containerens indhold dannes dynamisk baseret på indholdet af det nuværende filsystem og fjernes efter afslutningen af programmet. Der gives fleksible værktøjer til at fastsætte adgangsregler til filsystemet, der gør det muligt at bestemme, hvilke filer og mapper der er tilladt eller nægtet adgang til, tilslutning af midlertidige filsystemer (tmpfs) til data, begrænsning af adgang til filer eller mapper kun til læseadgang, samt sammenfletning af mapper via bind-mount og overlayfs.
Der er forberedt klare profiler til systemopkaldsisolering for et stort antal populære applikationer, herunder Firefox, Chromium, VLC og Transmission. For at opnå de nødvendige privilegier til at konfigurere det isolerede miljø installeres den eksekverbare fil firejail med SUID root-flaget (privilegierne nulstilles efter initialization). For at køre programmet i isoleringsmode er det nok at angive applikationens navn som et argument til firejail-værktøjet, for eksempel "firejail firefox" eller "sudo firejail /etc/init.d/nginx start".
I den nye version:
- I konfigurationsfilen firejail.config er indstillingerne arg-max-count, arg-max-len, env-max-count og env-max-len tilføjet for at ændre grænserne for antal og størrelse på kommandolinjeparametre og miljøvariabler. Som standard er antallet af argumenter begrænset til 128, antallet af miljøvariabler til 256, og størrelsen på hvert argument er PATH_MAX fra limits.h (i Linux 40196) + 32.
- En mulighed «—xephyr-extra-params» er tilføjet for at angive ekstra muligheder til Xephyr (brugt til at oprette sandbox-miljøer X11 med sin egen X-server, der kører i et vindue) i kommandolinjen uden at ændre firejail.config.
- Det installerede værktøj bwrap (bubblewrap) i sandbox-miljøet er blevet erstattet med fbwrap, som kører programmer uden isolation for at løse problemer med at starte Firefox, Thunderbird, GIMP på grund af kaldet til glycin 2.0.0 fra gdk-pixbuf2 ved hjælp af bwrap. For at kopiere bwrap i stedet for lagret, er muligheden «—allow-bwrap» tilføjet.
- Systemopkaldstabellerne til seccomp er blevet opdateret. Nye systemopkald som epoll_pwait2 og futex_wait er blevet tilføjet.
- Byggeindstillingen «—disable-globalcfg» er fjernet, support til overlayfs («—overlay») og IDS-tilstand (Intrusion Detection System, «—ids») er blevet afbrudt.
- Isoleringsprofiler er blevet tilføjet for teksteditoren ne (teksteditor), browseren Trivalent og spilmotorerne OpenRA, quakespasm, gzdoom, lzdoom, uzdoom.
- Profilerne til thunderbird, wine, qutebrowser, firefox, godot, wusc, mullvad-browser, blink, steam, ssh, brave og hashcat er blevet opdateret.
Kilde: opennet.ru
