{"id":54610,"date":"2019-12-30T00:00:00","date_gmt":"2019-12-29T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/vypusk-sistemy-izolyatsii-prilozhenij-firejail-0-9-62"},"modified":"2020-02-18T14:02:39","modified_gmt":"2020-02-18T11:02:39","slug":"vypusk-sistemy-izolyatsii-prilozhenij-firejail-0-9-62","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/vypusk-sistemy-izolyatsii-prilozhenij-firejail-0-9-62","title":{"rendered":"Ver\u00f6ffentlichung des Anwendungssicherheitsystems Firejail 0.9.62","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Nach sechs Monaten Entwicklung ist verf\u00fcgbar<\/a><\/noindex> Projekt-Releases Firejail 0.9.62<\/a><\/noindex>, in dessen Rahmen ein System f\u00fcr die isolierte Ausf\u00fchrung von grafik-, konsole- und serverbasierten Anwendungen entwickelt wird. Die Verwendung von Firejail minimiert das Risiko einer Kompromittierung des Hauptsystems beim Start von nicht vertrauensw\u00fcrdigen oder potenziell anf\u00e4lligen Programmen. Das Programm ist in C geschrieben, wird unter der GPLv3-Lizenz bereitgestellt.<\/a><\/noindex> unter der GPLv2-Lizenz und kann in jeder Linux-Distribution mit einem Kernel neuerer Version als 3.0 betrieben werden. Fertige Pakete von Firejail werden<\/a><\/noindex> liegen in den Formaten deb (Debian, Ubuntu) und rpm (CentOS, Fedora) vor.<\/p>\n

F\u00fcr die Isolation in Firejail werden<\/a><\/noindex> Namenr\u00e4ume (namespaces), AppArmor und Filterung von Systemaufrufen (seccomp-bpf) in Linux. Nach dem Start verwendet das Programm und alle seine untergeordneten Prozesse separate Ansichten der Kernelressourcen, wie das Netzwerk-Stack, die Prozesstabelle und die Einh\u00e4ngepunkte. Abh\u00e4ngige Anwendungen k\u00f6nnen in einen gemeinsamen Sandbox zusammengefasst werden. Bei Bedarf kann Firejail auch verwendet werden, um Docker-, LXC- und OpenVZ-Container zu starten. <\/p>\n

Im Gegensatz zu Containerisolationstools ist Firejail absolut einfach<\/a><\/noindex> in der Konfiguration und erfordert keine Vorbereitung des Systemabbilds \u2014 die Zusammensetzung des Containers wird zur Laufzeit auf Basis des Inhalts des aktuellen Dateisystems gebildet und nach Beendigung der Anwendung entfernt. Flexible Mittel zur Festlegung von Zugriffsregeln f\u00fcr das Dateisystem werden bereitgestellt, und es kann definiert werden, auf welche Dateien und Verzeichnisse der Zugang erlaubt oder verboten ist. Tempor\u00e4re Dateisysteme (tmpfs) k\u00f6nnen f\u00fcr Daten eingebunden werden, der Zugriff auf Dateien oder Verzeichnisse kann auf Lesen beschr\u00e4nkt werden, und Verzeichnisse k\u00f6nnen \u00fcber Bind-Mount und OverlayFS kombiniert werden.<\/p>\n

F\u00fcr eine Vielzahl von beliebten Anwendungen, einschlie\u00dflich Firefox, Chromium, VLC und Transmission, sind vorgefertigte Profile<\/a><\/noindex> Isolation von Systemaufrufen. Um die zum Einrichten einer isolierten Umgebung erforderlichen Berechtigungen zu erhalten, wird die ausf\u00fchrbare Datei firejail mit der SUID root-Flag installiert (nach der Initialisierung werden die Berechtigungen zur\u00fcckgesetzt). Um ein Programm im Isolationsmodus auszuf\u00fchren, gen\u00fcgt es, den Namen der Anwendung als Argument der firejail-Utility anzugeben, z. B. \u201efirejail firefox\u201c oder \u201esudo firejail \/etc\/init.d\/nginx start\u201c. <\/p>\n

In der neuen Version:<\/p>\n