{"id":106390,"date":"2023-01-19T00:48:17","date_gmt":"2023-01-18T22:48:17","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-sistemy-izolyaczii-prilozhenij-firejail-0-9-72"},"modified":"2023-01-19T00:48:17","modified_gmt":"2023-01-18T22:48:17","slug":"vypusk-sistemy-izolyaczii-prilozhenij-firejail-0-9-72","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/vypusk-sistemy-izolyaczii-prilozhenij-firejail-0-9-72","title":{"rendered":"Ver\u00f6ffentlichung des Anwendung-Isolationssystems Firejail 0.9.72","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Ver\u00f6ffentlichung von Firejail 0.9.72 wurde bekannt gegeben. Dieses Projekt entwickelt ein System f\u00fcr die isolierte Ausf\u00fchrung von grafischen, konsolenbasierten und Serveranwendungen, das das Risiko einer Kompromittierung des Hauptsystems beim Ausf\u00fchren von nicht vertrauensw\u00fcrdigen oder potenziell anf\u00e4lligen Programmen minimiert. Die Software ist in C geschrieben, wird unter der GPLv2-Lizenz verbreitet und kann in jeder Linux-Distribution mit einem Kernel \u00e4lter als 3.0 betrieben werden. Fertige Pakete f\u00fcr Firejail sind in den Formaten deb (Debian, Ubuntu) und rpm (CentOS, Fedora) verf\u00fcgbar. <\/p>\n
F\u00fcr die Isolation in Firejail werden Namespaces, AppArmor und system call filtering (seccomp-bpf) in Linux verwendet. Nach dem Start verwendet das Programm sowie alle seine Kindprozesse separate Ansichten der Systemressourcen, wie etwa den Netzwerkstack, die Prozessliste und die Mount-Punkte. Abh\u00e4ngige Anwendungen k\u00f6nnen in einem gemeinsamen Sandbox zusammengef\u00fchrt werden. Bei Bedarf kann Firejail auch zum Starten von Docker-, LXC- und OpenVZ-Containern verwendet werden. <\/p>\n
Im Gegensatz zu Container-Isolierungswerkzeugen ist Firejail extrem einfach zu konfigurieren und erfordert keine Vorbereitung eines Systemabbilds \u2013 der Container wird zur Laufzeit basierend auf dem Inhalt des aktuellen Dateisystems gebildet und nach Abschluss der Anwendung gel\u00f6scht. Es werden flexible Mittel zur Festlegung von Zugriffsregeln auf das Dateisystem bereitgestellt, wobei definiert werden kann, auf welche Dateien und Verzeichnisse der Zugriff erlaubt oder untersagt ist, tempor\u00e4re Dateisysteme (tmpfs) f\u00fcr Daten verbunden werden k\u00f6nnen, der Zugriff auf Dateien oder Verzeichnisse auf schreibgesch\u00fctzt beschr\u00e4nkt werden kann und Verzeichnisse \u00fcber Bind-Mount und Overlayfs kombiniert werden k\u00f6nnen. <\/p>\n
F\u00fcr eine gro\u00dfe Anzahl beliebter Anwendungen, darunter Firefox, Chromium, VLC und Transmission, wurden vorgefertigte Profile f\u00fcr die Isolation von Systemaufrufen erstellt. Um die erforderlichen Berechtigungen zum Einrichten einer isolierten Umgebung zu erhalten, wird die ausf\u00fchrbare Datei Firejail mit dem SUID-Root-Flag installiert (nach der Initialisierung werden diese Berechtigungen zur\u00fcckgesetzt). Um ein Programm im Isolationsmodus auszuf\u00fchren, gen\u00fcgt es, den Namen der Anwendung als Argument f\u00fcr das Firejail-Tool anzugeben, zum Beispiel \u201efirejail firefox\u201c oder \u201esudo firejail \/etc\/init.d\/nginx start\u201c. <\/p>\n
In der neuen Version: <\/p>\n
\n
Ein Seccomp-Filter f\u00fcr Systemaufrufe wurde hinzugef\u00fcgt, der die Erstellung von Namensr\u00e4umen blockiert (zum Aktivieren wurde die Option \u2014restrict-namespaces hinzugef\u00fcgt). Die Tabellen f\u00fcr Systemaufrufe und Seccomp-Gruppen wurden aktualisiert.\n
Der Modus force-nonewprivs (NO_NEW_PRIVS) wurde verbessert, um das Erlangen zus\u00e4tzlicher Privilegien in neuen Prozessen zu verbieten.\n
Es wurde die M\u00f6glichkeit hinzugef\u00fcgt, eigene AppArmor-Profile zu verwenden (zum Aktivieren wurde die Option \u2014apparmor vorgeschlagen).\n
Im Netzwerkverkehrsverfolgungssystem Nettrace, das Informationen \u00fcber IP und Verkehrsintegrit\u00e4t von jeder Adresse anzeigt, wurde ICMP-Unterst\u00fctzung implementiert und die Optionen \u2014dnstrace, \u2014icmptrace und \u2014snitrace vorgeschlagen.\n
Die Befehle \u2014cgroup und \u2014shell wurden entfernt (standardm\u00e4\u00dfig wird \u2014shell=none angewendet). Der Bau von Firetunnel wurde standardm\u00e4\u00dfig eingestellt. Die Einstellungen chroot, private-lib und tracelog in \/etc\/firejail\/firejail.config wurden deaktiviert. Die Unterst\u00fctzung f\u00fcr Grsecurity wurde eingestellt. <\/ul>\n