{"id":106390,"date":"2023-01-19T00:48:17","date_gmt":"2023-01-18T22:48:17","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-sistemy-izolyaczii-prilozhenij-firejail-0-9-72"},"modified":"2023-01-19T00:48:17","modified_gmt":"2023-01-18T22:48:17","slug":"vypusk-sistemy-izolyaczii-prilozhenij-firejail-0-9-72","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/vypusk-sistemy-izolyaczii-prilozhenij-firejail-0-9-72","title":{"rendered":"Ver\u00f6ffentlichung des Anwendung-Isolationssystems Firejail 0.9.72","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die neue Version des Firejail-Projekts 0.9.72 wurde ver\u00f6ffentlicht. Firejail ist ein System zur isolierten Ausf\u00fchrung von grafischen, Konsolen- und Serveranwendungen, das hilft, das Risiko einer Kompromittierung des Hauptsystems beim Ausf\u00fchren von nicht vertrauensw\u00fcrdigen oder potenziell anf\u00e4lligen Programmen zu minimieren. Die Anwendung ist in C geschrieben, wird unter der GPLv2-Lizenz verbreitet und ist mit jeder Linux-Distribution ab Kernel 3.0 kompatibel. Fertige Pakete von Firejail sind im deb-Format (Debian, Ubuntu) und im rpm-Format (CentOS, Fedora) verf\u00fcgbar. <\/p>\n
Firejail verwendet zur Isolation die Linux-Namensr\u00e4ume (namespaces), AppArmor und syscall-Filterung (seccomp-bpf). Nach dem Start nutzt das Programm zusammen mit all seinen Unterprozessen separate Ansichten der Kernelressourcen, wie z. B. den Netzwerkstack, die Prozessliste und die Mount-Punkte. Abh\u00e4ngige Anwendungen k\u00f6nnen in einem gemeinsamen Sandbox zusammengefasst werden. Firejail kann auch zum Starten von Docker-, LXC- und OpenVZ-Containern verwendet werden. <\/p>\n
Im Gegensatz zu Container-Isolierungstools ist Firejail \u00e4u\u00dferst einfach zu konfigurieren und erfordert keine vorbereitenden Systemabbilder \u2013 der Container wird zur Laufzeit basierend auf dem Inhalt des aktuellen Dateisystems erstellt und nach Beendigung der Anwendung gel\u00f6scht. Flexibles Zugriffsmanagement f\u00fcr das Dateisystem wird bereitgestellt, mit dem Sie festlegen k\u00f6nnen, auf welche Dateien und Verzeichnisse der Zugang erlaubt oder verboten ist. Tempor\u00e4re Dateisysteme (tmpfs) k\u00f6nnen eingebunden, sowie Lesezugriffe auf Dateien oder Verzeichnisse beschr\u00e4nkt und Verzeichnisse \u00fcber Bind-Mount und OverlayFS kombiniert werden. <\/p>\n
F\u00fcr viele beliebte Anwendungen wie Firefox, Chromium, VLC und Transmission sind vorgefertigte Profile zur Isolierung von Systemaufrufen bereitgestellt. Um die erforderlichen Berechtigungen zur Konfiguration der isolierten Umgebung zu erhalten, wird die ausf\u00fchrbare Datei von Firejail mit dem SUID-Root-Flag installiert (nach der Initialisierung werden die Berechtigungen zur\u00fcckgesetzt). Um ein Programm im Isolationsmodus auszuf\u00fchren, gen\u00fcgt es, den Namen der Anwendung als Argument f\u00fcr das Firejail-Tool anzugeben, zum Beispiel \u201efirejail firefox\u201c oder \u201esudo firejail \/etc\/init.d\/nginx start\u201c. <\/p>\n
In der neuen Version: <\/p>\n
\n
Ein seccomp-Filtersystemaufruf wurde hinzugef\u00fcgt, das die Erstellung von Namensr\u00e4umen blockiert (zur Aktivierung wurde die Option «—restrict-namespaces»<\/span> hinzugef\u00fcgt). Die Systemaufruffunktionen und die seccomp-Gruppen wurden aktualisiert.\n
Der Modus force-nonewprivs (NO_NEW_PRIVS), der das Erlangen zus\u00e4tzlicher Privilegien in neuen Prozessen verbietet, wurde verbessert.\n
Die M\u00f6glichkeit zur Verwendung eigener AppArmor-Profile wurde hinzugef\u00fcgt (zur Aktivierung wurde die Option «—apparmor»<\/span> vorgeschlagen).\n
Im Netzwerkverkehrs-Tracking-System nettrace, das Informationen \u00fcber IP und die Intensit\u00e4t des Verkehrs von jeder Adresse anzeigt, wurde die Unterst\u00fctzung f\u00fcr ICMP implementiert, und die Optionen «—dnstrace»<\/span>, «—icmptrace»<\/span> und «—snitrace»<\/span> wurden angeboten.\n
Die Befehle —cgroup<\/span> und —shell<\/span> wurden entfernt (standardm\u00e4\u00dfig wird —shell=none<\/span> verwendet). Der Build von firetunnel wurde standardm\u00e4\u00dfig eingestellt. Die Einstellungen chroot, private-lib und tracelog in \/etc\/firejail\/firejail.config wurden deaktiviert. Der Support f\u00fcr grsecurity wurde eingestellt. <\/ul>\n