Firejaili rakenduste isoleerimise süsteemi väljaanne 0.9.62

Pärast kuue kuu arendustööd saadaval projekti väljalaskmine Firejail 0.9.62, mille raames areneb süsteem isoleeritud käivitamiseks graafika-, konsooli- ja serverirakendustele. Firejail'i kasutamine vähendab põhissüsteemi kompromiteerimise riski, kui käivitada usaldamatuid või potentsiaalselt haavatavaid programme. Programm on kirjutatud C keeles, levitatakse GPLv2 litsentsi all ja võib töötada igas Linuxi jaotuses, mille tuum on vanem kui 3.0. Firejail'i valmis paketid valmistatud debian (Debian, Ubuntu) ja rpm (CentOS, Fedora) formaatides.

Firejail'i isolatsiooniks kasutatakse nimede ruume (namespaces), AppArmorit ja süsteemikutsungite filtreerimist (seccomp-bpf) Linuxis. Pärast käivitamist kasutab programm ja kõik selle alamprotsessid eraldi tuumavarade vaateid, nagu võrgu stack, protsesside tabel ja mount-punktid. Ühiseid rakendusi saab liita ühte üldisse sandbox'i. Soovi korral saab Firejail'i kasutada ka Docker, LXC ja OpenVZ konteinerite käitamiseks.

Erinevalt konteinerite isolatsiooni vahenditest on firejail äärmiselt lihtne konfigureerimisel ja ei nõua süsteemi pildi ettevalmistamist — konteineri koostis moodustatakse jooksvalt olemasoleva failisüsteemi põhjal ja eemaldatakse rakenduse töö lõpetamisel. Pakutakse paindlikke ligipääsureeglite seadistamise vahendeid failisüsteemile, saab määrata, millistele failidele ja kaustadele ligipääs on lubatud või keelatud, lisada andmete jaoks ajutisi failisüsteeme (tmpfs), piirata ligipääsu failidele või kaustadele ainult lugemiseks, siduda kaustad läbi bind-mount ja overlayfs.

Paljude populaarsete rakenduste, sealhulgas Firefoxi, Chromiumi, VLC ja Transmission, jaoks on ette valmistatud valmis isoleerimise profiilid süsteemikutsungite jaoks. Nõutavate privileegide hankimiseks isoleeritud keskkonna seadistamiseks installitakse firejail'i käitatav fail SUID root lipuga (pärast initsialiseerimist privileegid tühistatakse). Rakenduse käitamiseks isoleeritud režiimis piisab, kui näidata rakenduse nime firejail'i utiliidi argumendina, näiteks "firejail firefox" või "sudo firejail /etc/init.d/nginx start."

Uues väljaandes:

• Konfigureerimisfailis /etc/firejail/firejail.config lisatud on seadistamine file-copy-limit, mis võimaldab piirata failide suurust, mis kopeeritakse mälu, kui kasutatakse valikuid "—private-*" (vaikimisi on piirang kehtestatud 500MB).
• Katalooge /usr/share/doc/firejail lisati malli uute rakendusepiirangute profiilide loomiseks.
• Profiilides on lubatud debugeerimiste kasutamine.
• Süsteemi kõnede filtreerimist on täiustatud seccomp mehhanismi abil.
• Soodustatud on kompilaatorise lipu automaatne tuvastamine.
• Käsk chroot täidetakse nüüd mitte tee alusel, vaid failihalduri põhjal tõusmisel.
• Kataloog /usr/share on erinevate profiilide nimekirjas.
• Sektsiooni conrib on lisatud uusi abiskripte gdb-firejail.sh ja sort.py.
• Parandatud on priviligeeritud koodi (SUID) täitmise etapi kaitset.
• Profiilides on rakendatud uusi tingimuslikke tunnuseid HAS_X11 ja HAS_NET X-serveri ja võrgu juurdepääsu kontrollimiseks.
• Lisatud on profiilid rakenduste isoleeritud käivitamiseks (kokku profiile nüüd 884):
  • i2p,
  • tor-browser (AUR),
  • Zulip,
  • rsync,
  • signal-cli,
  • tcpdump,
  • tshark,
  • qgis,
  • OpenArena,
  • godot,
  • klatexformula,
  • klatexformula_cmdl,
  • links,
  • xlinks,
  • pandoc,
  • teams-for-linux,
  • gnome-sound-recorder,
  • newsbeuter,
  • keepassxc-cli,
  • keepassxc-proxy,
  • rhythmbox-client,
  • jerry,
  • zeal,
  • mpg123,
  • conplay,
  • mpg123.bin,
  • mpg123-alsa,
  • mpg123-id3dump,
  • out123,
  • mpg123-jack,
  • mpg123-nas,
  • mpg123-openal,
  • mpg123-oss,
  • mpg123-portaudio,
  • mpg123-pulse,
  • mpg123-strip,
  • pavucontrol-qt,
  • gnome-characters,
  • gnome-character-map,
  • Whalebird,
  • tb-starter-wrapper,
  • bzcat,
  • kiwix-desktop,
  • bzcat,
  • zstd,
  • pzstd,
  • zstdcat,
  • zstdgrep,
  • zstdless,
  • zstdmt,
  • unzstd,
  • ar,
  • gnome-latex,
  • pngquant,
  • kalgebra,
  • kalgebramobile,
  • amuled,
  • kfind,
  • profanity,
  • audio-recorder,
  • cameramonitor,
  • ddgtk,
  • drawio,
  • unf,
  • gmpc,
  • electron-mail,
  • gist,
  • gist-paste.

Allikas: opennet.ru