Firejail rakenduste isoleerimise süsteemi versioon 0.9.72

Avaldati projekti Firejail 0.9.72 versioon, mis arendab süsteemi igasuguste graafiliste, konsooli- ja serverirakenduste isoleeritud käitamiseks, vähendades riskitegureid, mis võivad peamisse süsteemi siseneda usaldamatute või potentsiaalselt haavatavate programmide käivitamisel. Programm on kirjutatud C keeles, levitatakse GPLv2 litsentsi alusel ja see töötab igas Linuxi jaotuses, mille tuum on uuem kui 3.0. Valmis Firejail paketid on saadaval deb (Debian, Ubuntu) ja rpm (CentOS, Fedora) formaatides.

Firejail'is kasutatakse isoleerimiseks nimesüsteeme (namespaces), AppArmorit ja süsteemikäsu filtreerimist (seccomp-bpf) Linuxis. Pärast käivitamist kasutab programm ja kõik tema alamprotsessid eraldi ressursivaateid tuumas, nagu näiteks võrgu stack, protsesside tabel ja mälupunktid. Omavahel seotud rakendusi saab ühendada ühte ühisesse liivakasti. Soovi korral saab Firejail'i kasutada ka Dockeri, LXC ja OpenVZ konteinerite käitamiseks.

Erinevalt konteinerite isoleerimise vahenditest on firejail äärmiselt lihtne konfigureerida ja ei nõua süsteemipildi ettevalmistamist – konteineri koostisosad moodustatakse jooksvalt, tuginedes praeguse failisüsteemi sisule ja eemaldatakse pärast rakenduse sulgemist. Pakutakse paindlikke vahendeid failisüsteemile juurdepääsu reeglite määramiseks, on võimalik määrata, millistele failidele ja kataloogidele on juurdepääs lubatud või keelatud, lisada andmete jaoks ajutisi failisüsteeme (tmpfs), piirata juurdepääsu failidele või kataloogidele ainult lugemiseks, samuti ühendada katalooge bind-mount ja overlayfs abil.

Paljude populaarsete rakenduste, sealhulgas Firefoxi, Chromiumi, VLC ja Transmissioni jaoks on ette valmistatud valmiskujundatud süsteemikäsu isoleerimise profiilid. Isolatsiooni keskkonna seadistamiseks vajalike õiguste saamiseks installitakse täitmisfail firejail root SUID lipuga (pärast initsialiseerimist tühistatakse õigused). Rakenduse käitamiseks isolatsioonirežiimis on piisav, kui märkida rakenduse nimi firejail utiliidi argumendina, näiteks 'firejail firefox' või 'sudo firejail /etc/init.d/nginx start'.

Uues väljaandes:

• Lisatud seccomp süsteemikäsu filter, mis blokeerib nimede loomise (selle aktiveerimiseks lisatud valik '—restrict-namespaces'). Uuendatud on süsteemikäsu ja seccomp rühmade tabelid.
• Parendatud režiim force-nonewprivs (NO_NEW_PRIVS), mis keelab uutes protsessides lisaprevilge saamise.
• Lisatud võimalus kasutada kohandatud AppArmor profiile (ühenduse jaoks on pakutud valik «—apparmor»).
• Nettrace'i võrgu liikluse jälgimise süsteemis, mis kuvab teavet IP-de ja liikluse intensiivsuse kohta igast aadressist, on rakendatud ICMP toe ja pakutud valikud «—dnstrace», «—icmptrace» ja «—snitrace».
• Eemaldatud käsud —cgroup ja —shell (vaikimisi rakendatakse —shell=none). Vaikimisi on lõpetatud firetunneli koostamine. Keelatud on chroot, private-lib ja tracelog seaded failis /etc/firejail/firejail.config. Lõpetatud on grsecurity toe pakkumine.

Allikas: opennet.ru