Veröffentlichung des Anwendung-Isolationssystems Firejail 0.9.72

Die Veröffentlichung von Firejail 0.9.72 wurde bekannt gegeben. Dieses Projekt entwickelt ein System für die isolierte Ausführung von grafischen, konsolenbasierten und Serveranwendungen, das das Risiko einer Kompromittierung des Hauptsystems beim Ausführen von nicht vertrauenswürdigen oder potenziell anfälligen Programmen minimiert. Die Software ist in C geschrieben, wird unter der GPLv2-Lizenz verbreitet und kann in jeder Linux-Distribution mit einem Kernel älter als 3.0 betrieben werden. Fertige Pakete für Firejail sind in den Formaten deb (Debian, Ubuntu) und rpm (CentOS, Fedora) verfügbar.

Für die Isolation in Firejail werden Namespaces, AppArmor und system call filtering (seccomp-bpf) in Linux verwendet. Nach dem Start verwendet das Programm sowie alle seine Kindprozesse separate Ansichten der Systemressourcen, wie etwa den Netzwerkstack, die Prozessliste und die Mount-Punkte. Abhängige Anwendungen können in einem gemeinsamen Sandbox zusammengeführt werden. Bei Bedarf kann Firejail auch zum Starten von Docker-, LXC- und OpenVZ-Containern verwendet werden.

Im Gegensatz zu Containerisolierungsmethoden ist Firejail extrem einfach zu konfigurieren und erfordert keine Vorbereitung eines Systemimages — der Inhalt des Containers wird zur Laufzeit basierend auf dem Inhalt des aktuellen Dateisystems erstellt und nach Abschluss der Anwendung entfernt. Flexible Mittel zur Festlegung von Zugriffsregeln für das Dateisystem werden bereitgestellt, man kann bestimmen, auf welche Dateien und Verzeichnisse der Zugriff erlaubt oder verweigert wird, temporäre Dateisysteme (tmpfs) für Daten einbinden, den Zugriff auf Dateien oder Verzeichnisse nur zum Lesen beschränken und Verzeichnisse über Bind-Mount und Overlayfs kombinieren.

Für eine Vielzahl beliebter Anwendungen, einschließlich Firefox, Chromium, VLC und Transmission, wurden vorgefertigte Profile zur Isolation von Systemaufrufen erstellt. Um die für die Konfiguration einer isolierten Umgebung erforderlichen Berechtigungen zu erhalten, wird die ausführbare Datei firejail mit dem SUID-Root-Flag installiert (nach der Initialisierung werden die Berechtigungen zurückgesetzt). Um das Programm im Isolationsmodus auszuführen, genügt es, den Namen der Anwendung als Argument der firejail-Utility anzugeben, zum Beispiel „firejail firefox“ oder „sudo firejail /etc/init.d/nginx start“.

In der neuen Version:

• Ein Seccomp-Filter für Systemaufrufe wurde hinzugefügt, der die Erstellung von Namensräumen blockiert (um diese Funktion zu aktivieren, wurde die Option „—restrict-namespaces“ hinzugefügt). Die Tabellen der Systemaufrufe und der Seccomp-Gruppen wurden aktualisiert.
• Der Modus force-nonewprivs (NO_NEW_PRIVS) wurde verbessert, um das Erlangen zusätzlicher Privilegien in neuen Prozessen zu verbieten.
• Die Verwendung eigener AppArmor-Profile wurde hinzugefügt (die Option „—apparmor“ wurde für die Einbindung vorgeschlagen).
• Im System zur Überwachung des Netzwerkverkehrs nettrace, das Informationen über IP und den Verkehrsaufkommen von jeder Adresse anzeigt, wurde die Unterstützung von ICMP implementiert, und es wurden die Optionen „—dnstrace“, „—icmptrace“ und „—snitrace“ angeboten.
• Die Befehle —cgroup und —shell wurden entfernt (standardmäßig wird —shell=none angewendet). Der Build von firetunnel wurde standardmäßig eingestellt. Die Konfigurationen chroot, private-lib und tracelog in /etc/firejail/firejail.config wurden deaktiviert. Die Unterstützung für grsecurity wurde eingestellt.

Quelle: opennet.ru