Rakenduste isoleerimise süsteemi Firejail 0.9.78 väljaanne

Avaldatud on projekti Firejail 0.9.78 väljaanne, mis arendab süsteemi graafiliste, konsooli ja serveri rakenduste isoleeritud käitamiseks, vähendades peamise süsteemi kompromiteerimise riski usaldamatute või potentsiaalselt haavatavate programmide käitamisel. Programm on kirjutatud C keeles, levitatakse GPLv2 litsentsi all ja töötab igas Linuxi distributsioonis, mille tuuma versioon on üle 3.0. Firejail'i valmispaketid on ette valmistatud deb (Debian, Ubuntu) ja rpm (CentOS, Fedora) formaatides.

Firejail'is kasutatakse isoleerimiseks nimesüsteeme (namespaces), AppArmorit ja süsteemikäsu filtreerimist (seccomp-bpf) Linuxis. Pärast käivitamist kasutab programm ja kõik tema alamprotsessid eraldi ressursivaateid tuumas, nagu näiteks võrgu stack, protsesside tabel ja mälupunktid. Omavahel seotud rakendusi saab ühendada ühte ühisesse liivakasti. Soovi korral saab Firejail'i kasutada ka Dockeri, LXC ja OpenVZ konteinerite käitamiseks.

Erinevalt konteinerite isoleerimise vahenditest on Firejail äärmiselt lihtne konfigureerida ja ei vaja süsteemi kujundi ettevalmistamist — konteineri sisu moodustatakse reaalajas praeguse FS sisu põhjal ja see kustutatakse rakenduse lõpetamisel. Pakutakse paindlikke vahendeid failisüsteemi juurdepääsureeglite seadmiseks, võimaldades määrata, millistele failidele ja kaustadele on juurdepääs lubatud või keelatud, ühendada ajutised failisüsteemid (tmpfs), piirata juurdepääsu failidele või kaustadele ainult lugemiseks ning teostada kaustade sidumist bind-mount ja overlayfs abil.

Paljude populaarsete rakenduste, sealhulgas Firefoxi, Chromiumi, VLC ja Transmissioni jaoks on ette valmistatud valmiskujundatud süsteemikäsu isoleerimise profiilid. Isolatsiooni keskkonna seadistamiseks vajalike õiguste saamiseks installitakse täitmisfail firejail root SUID lipuga (pärast initsialiseerimist tühistatakse õigused). Rakenduse käitamiseks isolatsioonirežiimis on piisav, kui märkida rakenduse nimi firejail utiliidi argumendina, näiteks 'firejail firefox' või 'sudo firejail /etc/init.d/nginx start'.

Uues väljaandes:

• Firejail.config konfigureerimisfaili on lisatud valikud arg-max-count, arg-max-len, env-max-count ja env-max-len, et muuta argumentide ja keskkonna muutuja piiride arvu ja suurust. Vaikimisi on argumentide arv piiratud 128-ga, keskkonna muutujate arv 256-ga ja iga argumendi suurus — PATH_MAX limits.h failist (Linuxis 40196) + 32.
• Lisatud on valik „—xephyr-extra-params”, et määrata täiendavaid valikuid Xephyrile (kasutatakse X11 liivakastikeskkondade loomiseks oma X-serveriga, mis käivitub aknas) käsureal ilma firejail.config faili muutmata.
• Liivakasti keskkonda paigaldatud utiliit bwrap (bubblewrap) on asendatud fbwrap kihi kaudu, mis töötab programme isoleerimata, et lahendada probleeme Firefoxi, Thunderbirdi, GIMPi käivitamisel glycin 2.0.0 kutsumise tõttu gdk-pixbuf2 kaudu, kasutades bwrapi. bwrapi kopeerimise asemel on lisatud valik „—allow-bwrap”.
• Süsteemi kõnede tabelid seccomp'i jaoks on ajakohastatud. Lisatud on uued süsteemi kõned, näiteks epoll_pwait2 ja futex_wait.
• Kogumise valik „—disable-globalcfg” on eemaldatud, overlayfs (—overlay) ja IDS (Intrusion Detection System, „—ids”) režiimi tugi on lõpetatud.
• Lisatud isolatsiooniprofiilid tekstiredaktori ne (tekstidredaktor), brauseri Trivalent ja mängumootorite OpenRA, quakespasm, gzdoom, lzdoom, uzdoom jaoks.
• Uuendatud profilid thunderbird, wine, qutebrowser, firefox, godot, wusc, mullvad-brauser, blink, steam, ssh, brave ja hashcat jaoks.

Allikas: opennet.ru