{"id":106390,"date":"2023-01-19T00:48:17","date_gmt":"2023-01-18T22:48:17","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-sistemy-izolyaczii-prilozhenij-firejail-0-9-72"},"modified":"2023-01-19T00:48:17","modified_gmt":"2023-01-18T22:48:17","slug":"vypusk-sistemy-izolyaczii-prilozhenij-firejail-0-9-72","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/vypusk-sistemy-izolyaczii-prilozhenij-firejail-0-9-72","title":{"rendered":"Firejail rakenduste isoleerimise s\u00fcsteemi versioon 0.9.72","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Avaldati projekti Firejail 0.9.72 versioon, mis arendab s\u00fcsteemi igasuguste graafiliste, konsooli- ja serverirakenduste isoleeritud k\u00e4itamiseks, v\u00e4hendades riskitegureid, mis v\u00f5ivad peamisse s\u00fcsteemi siseneda usaldamatute v\u00f5i potentsiaalselt haavatavate programmide k\u00e4ivitamisel. Programm on kirjutatud C keeles, levitatakse GPLv2 litsentsi alusel ja see t\u00f6\u00f6tab igas Linuxi jaotuses, mille tuum on uuem kui 3.0. Valmis Firejail paketid on saadaval deb (Debian, Ubuntu) ja rpm (CentOS, Fedora) formaatides. <\/p>\n
Firejail'is kasutatakse isoleerimiseks nimes\u00fcsteeme (namespaces), AppArmorit ja s\u00fcsteemik\u00e4su filtreerimist (seccomp-bpf) Linuxis. P\u00e4rast k\u00e4ivitamist kasutab programm ja k\u00f5ik tema alamprotsessid eraldi ressursivaateid tuumas, nagu n\u00e4iteks v\u00f5rgu stack, protsesside tabel ja m\u00e4lupunktid. Omavahel seotud rakendusi saab \u00fchendada \u00fchte \u00fchisesse liivakasti. Soovi korral saab Firejail'i kasutada ka Dockeri, LXC ja OpenVZ konteinerite k\u00e4itamiseks. <\/p>\n
Erinevalt konteinerite isoleerimise vahenditest on firejail \u00e4\u00e4rmiselt lihtne konfigureerida ja ei n\u00f5ua s\u00fcsteemipildi ettevalmistamist \u2014 konteineri sisu moodustatakse reaalajas praeguse failis\u00fcsteemi p\u00f5hjal ja see kustutatakse p\u00e4rast rakenduse tegevuse l\u00f5petamist. Pakutakse paindlikke vahendeid failis\u00fcsteemi juurdep\u00e4\u00e4sureeglite m\u00e4\u00e4ramiseks, v\u00f5ite m\u00e4\u00e4rata, millistele failidele ja kataloogidele on juurdep\u00e4\u00e4s lubatud v\u00f5i keelatud, \u00fchendada andmete jaoks ajutised failis\u00fcsteemid (tmpfs), piirata juurdep\u00e4\u00e4su failidele v\u00f5i kataloogidele ainult lugemiseks, ning kombineerida katalooge l\u00e4bi bind-mount'i ja overlayfs. <\/p>\n
Suure hulga populaarsete rakenduste, sealhulgas Firefoxi, Chromiumi, VLC ja Transmissioni jaoks on ette valmistatud valmis s\u00fcsteemi kutsungite isoleerimise profiilid. Kauplemis\u00f5iguste saamiseks, mis on vajalikud isoleeritud keskkonna konfigureerimiseks, installitakse firejaili t\u00e4itmisfail SUID root levitamis\u00f5igusega (p\u00e4rast initsialiseerimist kaotatakse need \u00f5igused). Rakenduse k\u00e4itamiseks isoleeritud re\u017eiimis on piisav, kui m\u00e4\u00e4rata rakenduse nimi firejaili utiliidi argumendina, n\u00e4iteks \u201efirejail firefox\u201d v\u00f5i \u201esudo firejail \/etc\/init.d\/nginx start\u201d. <\/p>\n
Uues v\u00e4ljaandes: <\/p>\n
\n
Lisatud on seccomp-kutsungifiltrid, mis blokeerivad nimevahete loomise (sisestamiseks on lisatud valik \u201e--restrict-namespaces\u201d). Uuendatud on kutsungite tabeleid ja seccomp-gruppe.\n
Parendatud re\u017eiim force-nonewprivs (NO_NEW_PRIVS), mis keelab uutes protsessides lisaprevilge saamise.\n
Lisatud on v\u00f5imalus kasutada oma AppArmor profiile (\u00fchendamiseks on soovitatud valik \u201e--apparmor\u201d).\n
Nettrace s\u00fcsteemis, mis j\u00e4lgib v\u00f5rgu liiklust ja n\u00e4itab teavet IP ja liikluse intensiivsuse kohta igast aadressist, on rakendatud ICMP tugi ning pakkuda on valikud \u201e--dnstrace\u201d, \u201e--icmptrace\u201d ja \u201e--snitrace\u201d.\n
Eemaldatud on k\u00e4sud --cgroup ja --shell (vaikimisi kasutatakse --shell=none). Vaikimisi on l\u00f5petatud firetunneli koostamine. Keelatud on chroot, private-lib ja tracelog seaded failis \/etc\/firejail\/firejail.config. Toetust grsecurity l\u00f5petati. <\/ul>\n