Veröffentlichung des Anwendungssicherheitsystems Firejail 0.9.62

Nach sechs Monaten Entwicklung ist verfügbar Projekt-Releases Firejail 0.9.62, in dessen Rahmen ein System für die isolierte Ausführung von grafik-, konsole- und serverbasierten Anwendungen entwickelt wird. Die Verwendung von Firejail minimiert das Risiko einer Kompromittierung des Hauptsystems beim Start von nicht vertrauenswürdigen oder potenziell anfälligen Programmen. Das Programm ist in C geschrieben, wird unter der GPLv3-Lizenz bereitgestellt. unter der GPLv2-Lizenz und kann in jeder Linux-Distribution mit einem Kernel neuerer Version als 3.0 betrieben werden. Fertige Pakete von Firejail werden liegen in den Formaten deb (Debian, Ubuntu) und rpm (CentOS, Fedora) vor.

Für die Isolation in Firejail werden Namenräume (namespaces), AppArmor und Filterung von Systemaufrufen (seccomp-bpf) in Linux. Nach dem Start verwendet das Programm und alle seine untergeordneten Prozesse separate Ansichten der Kernelressourcen, wie das Netzwerk-Stack, die Prozesstabelle und die Einhängepunkte. Abhängige Anwendungen können in einen gemeinsamen Sandbox zusammengefasst werden. Bei Bedarf kann Firejail auch verwendet werden, um Docker-, LXC- und OpenVZ-Container zu starten.

Im Gegensatz zu Containerisolationstools ist Firejail absolut einfach in der Konfiguration und benötigt kein vorbereitete Systemabbild – die Zusammensetzung des Containers wird dynamisch basierend auf dem Inhalt des aktuellen Dateisystems erstellt und nach Abschluss der Anwendung gelöscht. Flexibel anpassbare Zugriffsregeln für das Dateisystem stehen zur Verfügung; es kann festgelegt werden, auf welche Dateien und Verzeichnisse Zugriff gewährt oder verweigert wird. Temporäre Dateisysteme (tmpfs) können für Daten angeschlossen, der Zugriff auf Dateien oder Verzeichnisse auf Nur-Lese-Basis eingeschränkt und Verzeichnisse über Bind-Mount und OverlayFS kombiniert werden.

Für eine Vielzahl von beliebten Anwendungen, einschließlich Firefox, Chromium, VLC und Transmission, sind vorgefertigte Profile Isolation von Systemaufrufen. Um die erforderlichen Berechtigungen für die Konfiguration einer isolierten Umgebung zu erhalten, wird die ausführbare Datei firejail mit dem SUID root-Flag installiert (nach der Initialisierung werden die Berechtigungen zurückgesetzt). Um ein Programm im Isolation-Modus auszuführen, genügt es, den Namen der Anwendung als Argument für das Dienstprogramm firejail anzugeben, beispielsweise „firejail firefox“ oder „sudo firejail /etc/init.d/nginx start“.

In der neuen Version:

• In die Konfigurationsdatei /etc/firejail/firejail.config hinzugefügt Die Einstellung file-copy-limit ermöglicht es, die Größe der Dateien zu begrenzen, die beim Einsatz der Optionen „—private-*“ in den Speicher kopiert werden (standardmäßig ist das Limit auf 500MB festgelegt).
• Im Verzeichnis /usr/share/doc/firejail wurden Vorlagen zum Erstellen neuer Anwendungsbeschränkungsprofile hinzugefügt.
• Die Nutzung von Debuggern ist in den Profilen erlaubt.
• Die Filterung von Systemaufrufen wurde mit Hilfe des seccomp-Mechanismus verbessert.
• Die automatische Erkennung von Compiler-Flags wurde sichergestellt.
• Der chroot-Aufruf erfolgt jetzt nicht mehr auf Basis des Pfads, sondern unter Verwendung von Mount-Punkten basierend auf dem Dateideskriptor.
• Das Verzeichnis /usr/share wurde in die Whitelist verschiedener Profile aufgenommen.
• In den Abschnitt contrib wurden neue Hilfsskripte gdb-firejail.sh und sort.py hinzugefügt.
• Erweiterter Schutz während der Ausführung von privilegierten Code (SUID).
• Neue bedingte Merkmale HAS_X11 und HAS_NET wurden für Profile implementiert, um die Verfügbarkeit des X-Servers und des Netzwerkzugriffs zu überprüfen.
• Profile für den isolierten Start von Anwendungen hinzugefügt (insgesamt wurden die Profile auf 884 erhöht):
  • i2p,
  • tor-browser (AUR),
  • Zulip,
  • rsync,
  • signal-cli,
  • tcpdump,
  • tshark,
  • qgis,
  • OpenArena,
  • godot,
  • klatexformula,
  • klatexformula_cmdl,
  • links,
  • xlinks,
  • pandoc,
  • teams-for-linux,
  • gnome-sound-recorder,
  • newsbeuter,
  • keepassxc-cli,
  • keepassxc-proxy,
  • rhythmbox-client,
  • jerry,
  • zeal,
  • mpg123,
  • conplay,
  • mpg123.bin,
  • mpg123-alsa,
  • mpg123-id3dump,
  • out123,
  • mpg123-jack,
  • mpg123-nas,
  • mpg123-openal,
  • mpg123-oss,
  • mpg123-portaudio,
  • mpg123-pulse,
  • mpg123-strip,
  • pavucontrol-qt,
  • gnome-characters,
  • gnome-character-map,
  • Whalebird,
  • tb-starter-wrapper,
  • bzcat,
  • kiwix-desktop,
  • bzcat,
  • zstd,
  • pzstd,
  • zstdcat,
  • zstdgrep,
  • zstdless,
  • zstdmt,
  • unzstd,
  • ar,
  • gnome-latex,
  • pngquant,
  • kalgebra,
  • kalgebramobile,
  • amuled,
  • kfind,
  • profanity,
  • audio-recorder,
  • cameramonitor,
  • ddgtk,
  • drawio,
  • unf,
  • gmpc,
  • electron-mail,
  • gist,
  • gist-paste.

Quelle: opennet.ru