Projekti Firejail 0.9.72 versioon on avaldatud, arendades s\u00fcsteemi isoleeritud k\u00e4ivitamiseks graafiliste, konsooli- ja serverirakenduste jaoks, mis v\u00e4hendab p\u00f5hiss\u00fcsteemi kompromiteerimise riski, kui k\u00e4ivitada usaldamatuid v\u00f5i potentsiaalselt haavatavaid programme. Programm on kirjutatud C keeles, levitatakse GPLv2 litsentsi alusel ja saab t\u00f6\u00f6tada igas Linuxi jaotuses, mille tuum on vanem kui 3.0. Valmispaketid Firejaili jaoks on ette valmistatud deb (Debian, Ubuntu) ja rpm (CentOS, Fedora) formaatides. <\/p>\n
Firejailis isoleerimiseks kasutatakse nimes\u00fcne (namespaces), AppArmor'i ja s\u00fcsteemik\u00f5nede filtreerimist (seccomp-bpf) Linuxis. P\u00e4rast k\u00e4ivitamist kasutab programm ja k\u00f5ik selle t\u00fctarprotsessid eraldi tuumaressursside vaateid, nagu v\u00f5rgu t\u00f6\u00f6keskkond, protsesside tabel ja monteerimispunktid. Omavahel s\u00f5ltuvaid rakendusi saab gruppi liita \u00fchte \u00fchisse liivakasti (sandbox). Soovi korral saab Firejaili kasutada ka Docker, LXC ja OpenVZ konteinerite k\u00e4itamiseks. <\/p>\n
Erinevalt konteinerite isolatsioonivahenditest on firejail \u00e4\u00e4rmiselt lihtne konfigureerida ja ei vaja s\u00fcsteemipildi ettevalmistamist \u2014 konteineri koosseis koostatakse reaalajas, tuginedes praeguse failis\u00fcsteemi sisule, ja kustutatakse rakenduse t\u00f6\u00f6 l\u00f5ppedes. Pakutakse paindlikke vahendeid failis\u00fcsteemi ligip\u00e4\u00e4sureeglite m\u00e4\u00e4ramiseks, v\u00f5imaldades kindlaks teha, millised failid ja kaustad on lubatud v\u00f5i keelatud, andmeid saab \u00fchendada ajutiste failis\u00fcsteemide (tmpfs) kaudu, faili v\u00f5i kausta ligip\u00e4\u00e4su saab piirata ainult lugemiseks ning kaustu saab \u00fchendada bind-mount ja overlayfs kaudu. <\/p>\n
Paljude populaarsete rakenduste, sealhulgas Firefoxi, Chromiumi, VLC ja Transmissioni jaoks, on ette valmistatud valmis s\u00fcsteemikutsumise isolatsiooniprofiilid. Privileegide saamiseks, mis on vajalikud isoleeritud keskkonna konfigureerimiseks, installitakse k\u00e4ivitatav fail firejail SUID root lipuga (p\u00e4rast initsialiseerimist privileegid t\u00fchistatakse). Rakenduse k\u00e4ivitamiseks isoleeritud re\u017eiimis piisab, kui m\u00e4rkida rakenduse nimi firejail utiliidi argumendina, n\u00e4iteks \u201efirejail firefox\u201d v\u00f5i \u201esudo firejail \/etc\/init.d\/nginx start\u201d. <\/p>\n
Uues v\u00e4ljaandes: <\/p>\n
\n
Lisatud on seccomp-system call filter, mis blokeerib nimede ruumide loomise (selle aktiveerimiseks on lisatud valik «—restrict-namespaces»). Uuendatud on s\u00fcsteemi kutsete ja seccomp r\u00fchmade tabeleid.\n
Lisatud on v\u00f5imalus kasutada oma AppArmor profiile (\u00fchendamiseks on pakutud valik «—apparmor»).\n
Nettrace'i v\u00f5rguliiklust j\u00e4lgimise s\u00fcsteemis, mis kuvab teavet IP ja liikluse intensiivsuse kohta igast aadressist, on rakendatud ICMP tugi ja pakutud valikud «—dnstrace», «—icmptrace» ja «—snitrace».\n
K\u00e4sklused —cgroup ja —shell on eemaldatud (vaikes\u00e4tetena rakendatakse —shell=none). Vaikes\u00e4tetena on firetunneli ehitamine peatunud. Seaded chroot, private-lib ja tracelog on keelatud failis \/etc\/firejail\/firejail.config. grsecurity tugi on l\u00f5petatud. <\/ul>\n