Release des Anwendungsisolationssystems Firejail 0.9.78

Die Veröffentlichung der Firejail 0.9.78 ist erfolgt. Dieses Projekt entwickelt ein System für die isolierte Ausführung von grafischen, Konsolen- und Serveranwendungen, das das Risiko einer Kompromittierung des Hauptsystems bei der Ausführung von unsicheren oder potenziell anfälligen Programmen minimiert. Die Software ist in C geschrieben, wird unter der GPLv2-Lizenz vertrieben und kann in jeder Linux-Distribution mit einem Kernel ab Version 3.0 verwendet werden. Vorgefertigte Pakete von Firejail sind in den Formaten deb (Debian, Ubuntu) und rpm (CentOS, Fedora) verfügbar.

Für die Isolation in Firejail werden Namespaces, AppArmor und system call filtering (seccomp-bpf) in Linux verwendet. Nach dem Start verwendet das Programm sowie alle seine Kindprozesse separate Ansichten der Systemressourcen, wie etwa den Netzwerkstack, die Prozessliste und die Mount-Punkte. Abhängige Anwendungen können in einem gemeinsamen Sandbox zusammengeführt werden. Bei Bedarf kann Firejail auch zum Starten von Docker-, LXC- und OpenVZ-Containern verwendet werden.

Im Gegensatz zu Containerisolationstools ist Firejail extrem einfach zu konfigurieren und erfordert kein Abbild des Systems — der Inhalt des Containers wird dynamisch basierend auf dem aktuellen Dateisystem erstellt und nach Beendigung des Programms gelöscht. Flexible Werkzeuge zur Festlegung von Zugriffsrechten auf das Dateisystem ermöglichen es, festzulegen, auf welche Dateien und Verzeichnisse der Zugriff erlaubt oder verboten ist, temporäre Dateisysteme (tmpfs) für Daten anzubinden, den Zugriff auf Dateien oder Verzeichnisse nur zum Lesen zu beschränken sowie Verzeichnisse über Bind-Mount und OverlayFS zusammenzuführen.

Für eine Vielzahl beliebter Anwendungen, einschließlich Firefox, Chromium, VLC und Transmission, wurden vorgefertigte Profile zur Isolation von Systemaufrufen erstellt. Um die für die Konfiguration einer isolierten Umgebung erforderlichen Berechtigungen zu erhalten, wird die ausführbare Datei firejail mit dem SUID-Root-Flag installiert (nach der Initialisierung werden die Berechtigungen zurückgesetzt). Um das Programm im Isolationsmodus auszuführen, genügt es, den Namen der Anwendung als Argument der firejail-Utility anzugeben, zum Beispiel „firejail firefox“ oder „sudo firejail /etc/init.d/nginx start“.

In der neuen Version:

• In die Konfigurationsdatei firejail.config wurden die Optionen arg-max-count, arg-max-len, env-max-count und env-max-len hinzugefügt, um die Limits für die Anzahl und die Größe von Kommandozeilen- und Umgebungsvariablen zu ändern. Standardmäßig ist die Anzahl der Argumente auf 128 begrenzt, die Anzahl der Umgebungsvariablen auf 256, und die Größe jedes Arguments entspricht PATH_MAX aus limits.h (in Linux 40196) + 32.
• Die Option „—xephyr-extra-params“ wurde hinzugefügt, um zusätzliche Optionen für Xephyr (verwendet zum Erstellen von Sandbox-Umgebungen X11 mit einem eigenen X-Server, der in einem Fenster läuft) in der Kommandozeile festzulegen, ohne die firejail.config zu ändern.
• Das im Sandbox-Umgebung verwendete Tool bwrap (bubblewrap) wurde durch die Schicht fbwrap ersetzt, die Programme ohne Isolation ausführt, um Probleme beim Start von Firefox, Thunderbird, GIMP aufgrund des Aufrufs von glycin 2.0.0 aus gdk-pixbuf2 mit bwrap zu lösen. Um bwrap anstelle der Schicht zu kopieren, wurde die Option „—allow-bwrap“ hinzugefügt.
• Die Tabellen der Systemaufrufe für seccomp wurden aktualisiert. Neue Systemaufrufe wie epoll_pwait2 und futex_wait wurden hinzugefügt.
• Die Build-Option „—disable-globalcfg“ wurde entfernt, die Unterstützung für overlayfs („—overlay“) und den IDS-Modus (Intrusion Detection System, „—ids“) wurde eingestellt.
• Isolation Profile für den Texteditor ne (Texteditor), den Browser Trivalent und die Spiele-Engines OpenRA, quakespasm, gzdoom, lzdoom, uzdoom wurden hinzugefügt.
• Die Profile für thunderbird, wine, qutebrowser, firefox, godot, wusc, mullvad-browser, blink, steam, ssh, brave und hashcat wurden aktualisiert.

Quelle: opennet.ru