{"id":106390,"date":"2023-01-19T00:48:17","date_gmt":"2023-01-18T22:48:17","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-sistemy-izolyaczii-prilozhenij-firejail-0-9-72"},"modified":"2023-01-19T00:48:17","modified_gmt":"2023-01-18T22:48:17","slug":"vypusk-sistemy-izolyaczii-prilozhenij-firejail-0-9-72","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/vypusk-sistemy-izolyaczii-prilozhenij-firejail-0-9-72","title":{"rendered":"Udgivelsen af applikationsisoleringssystemet Firejail 0.9.72","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Udgivet udgaven af projektet Firejail 0.9.72, der udvikler et system til isoleret udf\u00f8relse af grafiske, konsol- og serverapplikationer, hvilket muligg\u00f8r at minimere risikoen for kompromittering af det prim\u00e6re system ved k\u00f8rsel af up\u00e5lidelige eller potentielt s\u00e5rbare programmer. Programmet er skrevet i C og distribueres under GPLv2-licensen og kan k\u00f8re p\u00e5 enhver Linux-distribution med en kerne \u00e6ldre end 3.0. F\u00e6rdige pakker med Firejail er tilg\u00e6ngelige i deb-formater (Debian, Ubuntu) og rpm (CentOS, Fedora). <\/p>\n
Firejail bruger navnerum (namespaces), AppArmor og filtrering af systemopkald (seccomp-bpf) i Linux til isolering. Efter opstart bruger programmet og alle dets underordnede processer separate visninger af kerneressourcer, s\u00e5som netv\u00e6rksstak, proces tabel og monteringspunkter. Afh\u00e6ngige applikationer kan samles i en f\u00e6lles sandbox. Firejail kan ogs\u00e5 anvendes til at k\u00f8re Docker-containere, LXC og OpenVZ. <\/p>\n
I mods\u00e6tning til containeriseringsv\u00e6rkt\u00f8jer er firejail yderst enkel at konfigurere og kr\u00e6ver ikke forberedelse af et systembillede\u2014containerens sammens\u00e6tning dannes on-the-fly baseret p\u00e5 indholdet af det aktuelle filsystem og fjernes efter afslutningen af applikationen. Der tilbydes fleksible midler til at angive adgangsregler for filsystemet, hvor det kan defineres hvilke filer og mapper der er tilladt eller forbudt adgang til, midlertidige filsystemer (tmpfs) kan tilsluttes, adgang til filer eller mapper kan begr\u00e6nses til kun at v\u00e6re l\u00e6sebeskyttet, og mapper kan kombineres via bind-mount og overlayfs. <\/p>\n
For et stort antal popul\u00e6re applikationer, herunder Firefox, Chromium, VLC og Transmission, er der udarbejdet f\u00e6rdige profiler til isolation af systemopkald. For at opn\u00e5 de n\u00f8dvendige rettigheder til at konfigurere det isolerede milj\u00f8, installeres den eksekverbare fil firejail med SUID root-flaget (efter initialisering nulstilles rettighederne). For at k\u00f8re programmet i isolationsmodus er det tilstr\u00e6kkeligt at angive applikationens navn som et argument til firejail-v\u00e6rkt\u00f8jet, for eksempel 'firejail firefox' eller 'sudo firejail \/etc\/init.d\/nginx start'. <\/p>\n
I den nye version: <\/p>\n
\n
Der er tilf\u00f8jet en seccomp-filter for systemopkald, der blokerer oprettelse af navnerum (optionen '\u2014restrict-namespaces' er tilf\u00f8jet for at aktivere dette). Systemopkaldstablerne og seccomp-grupperne er blevet opdateret.\n
Forbedret tilstanden force-nonewprivs (NO_NEW_PRIVS), som forhindrer opn\u00e5elsen af yderligere privilegier i nye processer.\n
Der er tilf\u00f8jet mulighed for at bruge egne AppArmor-profiler (optionen '\u2014apparmor' er foresl\u00e5et til tilslutning).\n
I netv\u00e6rkstrafikoverv\u00e5gningssystemet nettrace, som viser oplysninger om IP og trafikintensitet fra hver adresse, er der implementeret st\u00f8tte til ICMP, og der er foresl\u00e5et mulighederne '\u2014dnstrace', '\u2014icmptrace', og '\u2014snitrace'.\n
Kommandoerne '\u2014cgroup' og '\u2014shell' er fjernet (som standard anvendes '\u2014shell=none'). Som standard er opbygningen af firetunnel stoppet. Indstillingerne chroot, private-lib og tracelog i \/etc\/firejail\/firejail.config er blevet deaktiveret. St\u00f8tten for grsecurity er blevet stoppet. <\/ul>\n