{"id":153282,"date":"2026-01-04T11:12:36","date_gmt":"2026-01-04T09:12:36","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-sistemy-izolyaczii-prilozhenij-firejail-0-9-78"},"modified":"2026-01-04T11:12:36","modified_gmt":"2026-01-04T09:12:36","slug":"reliz-sistemy-izolyaczii-prilozhenij-firejail-0-9-78","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/reliz-sistemy-izolyaczii-prilozhenij-firejail-0-9-78","title":{"rendered":"Udgivelsen af applikationsisolationssystemet Firejail 0.9.78","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Udgivelsen af projektet Firejail 0.9.78 er offentliggjort, som udvikler et system til isoleret udf\u00f8relse af grafiske, konsol- og serverapplikationer, hvilket minimerer risikoen for kompromittering af det prim\u00e6re system ved k\u00f8rsel af mist\u00e6nkelige eller potentielt s\u00e5rbare programmer. Programmet er skrevet i C, distribueres under GPLv2-licensen og kan k\u00f8re p\u00e5 enhver Linux-distribution med en kerne \u00e6ldre end 3.0. Klargjorte pakker med Firejail er forberedt i deb-format (Debian, Ubuntu) og rpm-format (CentOS, Fedora). <\/p>\n
Firejail bruger navnerum (namespaces), AppArmor og filtrering af systemopkald (seccomp-bpf) i Linux til isolering. Efter opstart bruger programmet og alle dets underordnede processer separate visninger af kerneressourcer, s\u00e5som netv\u00e6rksstak, proces tabel og monteringspunkter. Afh\u00e6ngige applikationer kan samles i en f\u00e6lles sandbox. Firejail kan ogs\u00e5 anvendes til at k\u00f8re Docker-containere, LXC og OpenVZ. <\/p>\n
I mods\u00e6tning til containerisolationsv\u00e6rkt\u00f8jer er firejail ekstremt enkelt at konfigurere og kr\u00e6ver ikke forberedelse af et systembillede \u2014 sammens\u00e6tningen af containeren dannes on-the-fly baseret p\u00e5 indholdet af det nuv\u00e6rende filsystem og fjernes efter afslutningen af programmet. Det leverer fleksible midler til at angive adgangsregler for filsystemet, der giver mulighed for at definere, hvilke filer og mapper der er tilladt eller n\u00e6gtet adgang til, tilslutte midlertidige filsystemer (tmpfs) for data, begr\u00e6nse adgang til filer eller mapper til kun at v\u00e6re l\u00e6sekun, kombinere mapper via bind-mount og overlayfs. <\/p>\n
For et stort antal popul\u00e6re applikationer, herunder Firefox, Chromium, VLC og Transmission, er der udarbejdet f\u00e6rdige profiler til isolation af systemopkald. For at opn\u00e5 de n\u00f8dvendige rettigheder til at konfigurere det isolerede milj\u00f8, installeres den eksekverbare fil firejail med SUID root-flaget (efter initialisering nulstilles rettighederne). For at k\u00f8re programmet i isolationsmodus er det tilstr\u00e6kkeligt at angive applikationens navn som et argument til firejail-v\u00e6rkt\u00f8jet, for eksempel 'firejail firefox' eller 'sudo firejail \/etc\/init.d\/nginx start'. <\/p>\n
I den nye version: <\/p>\n
\n
I konfigurationsfilen firejail.config er der tilf\u00f8jet indstillingerne arg-max-count, arg-max-len, env-max-count og env-max-len for at \u00e6ndre gr\u00e6nserne for antal og st\u00f8rrelse af kommandolinjeindstillinger og milj\u00f8variabler. Som standard er antallet af argumenter begr\u00e6nset til 128, antallet af milj\u00f8variabler til 256, og st\u00f8rrelsen af hvert argument er PATH_MAX fra limits.h (i Linux 40196) + 32.\n
Der er tilf\u00f8jet en mulighed '--xephyr-extra-params' for at angive ekstra muligheder til Xephyr (brugt til at oprette sandkassemilj\u00f8er X11 med sin egen X-server, der k\u00f8rer i et vindue) i kommandolinjen uden at \u00e6ndre firejail.config.\n
Den i sandkassemilj\u00f8et installerede v\u00e6rkt\u00f8j bwrap (bubblewrap) er blevet udskiftet med et lag fbwrap, der k\u00f8rer programmer uden isolation for at l\u00f8se problemer med at starte Firefox, Thunderbird, GIMP p\u00e5 grund af kaldet til glycin 2.0.0 fra gdk-pixbuf2 ved hj\u00e6lp af bwrap. For at kopiere bwrap i stedet for laget er der tilf\u00f8jet en mulighed '--allow-bwrap'.\n
Systemopkaldstabellerne til seccomp er blevet opdateret. Nye systemopkald som epoll_pwait2 og futex_wait er blevet tilf\u00f8jet.\n
Bygningsmuligheden '--disable-globalcfg' er fjernet, underst\u00f8ttelse af overlayfs ('--overlay') og IDS-mode (Intrusion Detection System, '--ids') er blevet oph\u00e6vet.\n
Isoleringsprofiler er blevet tilf\u00f8jet for teksteditoren ne (teksteditor), browseren Trivalent og spilmotorerne OpenRA, quakespasm, gzdoom, lzdoom, uzdoom.\n
Profilerne til thunderbird, wine, qutebrowser, firefox, godot, wusc, mullvad-browser, blink, steam, ssh, brave og hashcat er blevet opdateret. <\/ul>\n