{"id":106390,"date":"2023-01-19T00:48:17","date_gmt":"2023-01-18T22:48:17","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-sistemy-izolyaczii-prilozhenij-firejail-0-9-72"},"modified":"2023-01-19T00:48:17","modified_gmt":"2023-01-18T22:48:17","slug":"vypusk-sistemy-izolyaczii-prilozhenij-firejail-0-9-72","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/vypusk-sistemy-izolyaczii-prilozhenij-firejail-0-9-72","title":{"rendered":"Lanzamiento del sistema de aislamiento de aplicaciones Firejail 0.9.72","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Se ha publicado la versi\u00f3n 0.9.72 del proyecto Firejail, que desarrolla un sistema para la ejecuci\u00f3n aislada de aplicaciones gr\u00e1ficas, de consola y servidor, permitiendo minimizar el riesgo de comprometer el sistema principal al ejecutar programas que no son de confianza o potencialmente vulnerables. El programa est\u00e1 escrito en C, se distribuye bajo la licencia GPLv2 y puede funcionar en cualquier distribuci\u00f3n de Linux con un n\u00facleo superior a 3.0. Se han preparado paquetes listos de Firejail en formatos deb (Debian, Ubuntu) y rpm (CentOS, Fedora). <\/p>\n
Para la aislamiento en Firejail se utilizan espacios de nombres (namespaces), AppArmor y filtrado de llamadas al sistema (seccomp-bpf) en Linux. Una vez que se inicia, el programa y todos sus procesos hijos utilizan representaciones separadas de los recursos del n\u00facleo, como la pila de red, la tabla de procesos y los puntos de montaje. Las aplicaciones que dependen entre s\u00ed se pueden agrupar en un solo sandbox. Si se desea, Firejail tambi\u00e9n se puede aplicar para ejecutar contenedores Docker, LXC y OpenVZ. <\/p>\n
A diferencia de los m\u00e9todos de aislamiento de contenedores, firejail es extremadamente simple de configurar y no requiere la preparaci\u00f3n de una imagen del sistema; el contenedor se forma sobre la marcha en funci\u00f3n del contenido del sistema de archivos actual y se elimina al finalizar la aplicaci\u00f3n. Se proporcionan herramientas flexibles para establecer reglas de acceso al sistema de archivos, permitiendo definir a qu\u00e9 archivos y directorios se permite o se proh\u00edbe el acceso, conectar sistemas de archivos temporales (tmpfs) para los datos, limitar el acceso a archivos o directorios solo a lectura, y combinar directorios mediante bind-mount y overlayfs. <\/p>\n
Para un gran n\u00famero de aplicaciones populares, incluyendo Firefox, Chromium, VLC y Transmission, se han preparado perfiles de aislamiento de llamadas al sistema. Para obtener los privilegios necesarios para configurar un entorno aislado, el archivo ejecutable firejail se instala con la bandera SUID root (despu\u00e9s de la inicializaci\u00f3n, los privilegios se restablecen). Para ejecutar un programa en modo de aislamiento, basta con especificar el nombre de la aplicaci\u00f3n como argumento de la utilidad firejail, por ejemplo, \u00abfirejail firefox\u00bb o \u00absudo firejail \/etc\/init.d\/nginx start\u00bb. <\/p>\n
En esta nueva versi\u00f3n: <\/p>\n
\n
Se ha a\u00f1adido un filtro seccomp de llamadas al sistema que bloquea la creaci\u00f3n de espacios de nombres (para habilitarlo se agreg\u00f3 la opci\u00f3n \u00ab--restrict-namespaces\u00bb). Se han actualizado las tablas de llamadas al sistema y los grupos de seccomp.\n
Se mejor\u00f3 el modo force-nonewprivs (NO_NEW_PRIVS), que proh\u00edbe la obtenci\u00f3n de privilegios adicionales en nuevos procesos.\n
Se ha a\u00f1adido la posibilidad de usar perfiles propios de AppArmor (para conectarlo se ha propuesto la opci\u00f3n \u00ab--apparmor\u00bb).\n
En el sistema de seguimiento del tr\u00e1fico de red nettrace, que muestra informaci\u00f3n sobre IP e intensidad del tr\u00e1fico desde cada direcci\u00f3n, se ha implementado soporte para ICMP y se han propuesto las opciones \u00ab--dnstrace\u00bb, \u00ab--icmptrace\u00bb y \u00ab--snitrace\u00bb.\n
Se han eliminado los comandos \u00ab--cgroup\u00bb y \u00ab--shell\u00bb (por defecto se aplica \u00ab--shell=none\u00bb). Por defecto, se ha detenido la compilaci\u00f3n de firetunnel. Se han desactivado las configuraciones chroot, private-lib y tracelog en \/etc\/firejail\/firejail.config. Se ha dejado de soportar grsecurity. <\/ul>\n