Avaldatud on projekti Firejail 0.9.78 v\u00e4ljaanne, mis arendab s\u00fcsteemi graafiliste, konsooli ja serveri rakenduste isoleeritud k\u00e4itamiseks, v\u00e4hendades peamise s\u00fcsteemi kompromiteerimise riski usaldamatute v\u00f5i potentsiaalselt haavatavate programmide k\u00e4itamisel. Programm on kirjutatud C keeles, levitatakse GPLv2 litsentsi all ja t\u00f6\u00f6tab igas Linuxi distributsioonis, mille tuuma versioon on \u00fcle 3.0. Firejail'i valmispaketid on ette valmistatud deb (Debian, Ubuntu) ja rpm (CentOS, Fedora) formaatides. <\/p>\n
Firejail'is kasutatakse isoleerimiseks nimes\u00fcsteeme (namespaces), AppArmorit ja s\u00fcsteemik\u00e4su filtreerimist (seccomp-bpf) Linuxis. P\u00e4rast k\u00e4ivitamist kasutab programm ja k\u00f5ik tema alamprotsessid eraldi ressursivaateid tuumas, nagu n\u00e4iteks v\u00f5rgu stack, protsesside tabel ja m\u00e4lupunktid. Omavahel seotud rakendusi saab \u00fchendada \u00fchte \u00fchisesse liivakasti. Soovi korral saab Firejail'i kasutada ka Dockeri, LXC ja OpenVZ konteinerite k\u00e4itamiseks. <\/p>\n
Erinevalt konteinerisolatsioonivahenditest on Firejail \u00fclilihtne konfigureerida ja ei vaja s\u00fcsteemi kujundi ettevalmistamist \u2014 konteineri sisu koostatakse reaalajas praeguse failis\u00fcsteemi p\u00f5hjal ning eemaldatakse peale rakenduse t\u00f6\u00f6 l\u00f5petamist. Pakutakse painduvaid vahendeid failis\u00fcsteemi juurdep\u00e4\u00e4sureeglite m\u00e4\u00e4ramiseks, mis v\u00f5imaldavad m\u00e4\u00e4rata, millistele failidele ja kataloogidele on juurdep\u00e4\u00e4s lubatud v\u00f5i keelatud, \u00fchendada ajutisi FS-i (tmpfs) andmete jaoks, piirata juurdep\u00e4\u00e4su failidele v\u00f5i kataloogidele ainult lugemisega, ning \u00fchendada katalooge bind-mount ja overlayfs kaudu. <\/p>\n
Suure hulga populaarsete rakenduste, sealhulgas Firefoxi, Chromiumi, VLC ja Transmissioni jaoks on ette valmistatud valmis s\u00fcsteemi kutsungite isoleerimise profiilid. Kauplemis\u00f5iguste saamiseks, mis on vajalikud isoleeritud keskkonna konfigureerimiseks, installitakse firejaili t\u00e4itmisfail SUID root levitamis\u00f5igusega (p\u00e4rast initsialiseerimist kaotatakse need \u00f5igused). Rakenduse k\u00e4itamiseks isoleeritud re\u017eiimis on piisav, kui m\u00e4\u00e4rata rakenduse nimi firejaili utiliidi argumendina, n\u00e4iteks \u201efirejail firefox\u201d v\u00f5i \u201esudo firejail \/etc\/init.d\/nginx start\u201d. <\/p>\n
Uues v\u00e4ljaandes: <\/p>\n
\n
Firejail.config konfiguratsioonifaili on lisatud valikud arg-max-count, arg-max-len, env-max-count ja env-max-len, et muuta k\u00e4surea parameetrite ja keskkonna muutujate arvu ning suuruse limite. Vaikimisi on argumentide arv piiratud 128-ga, keskkonna muutujate arv 256-ga ja iga argumendi suurus \u2014 PATH_MAX limits.h-ist (Linuxis 40196) + 32.\n
Lisatud on valik \u00ab--xephyr-extra-params\u00bb, et m\u00e4\u00e4rata Xephyr\u2019ile lisavalikuid (kasutatakse X11 liivakastikeskkondade loomiseks, millel on oma X-server, mis t\u00f6\u00f6tab aknas) k\u00e4sureal ilma firejail.config-i muutmata.\n
Liivakastikeskkonda installitud utiliit bwrap (bubblewrap) on asendatud fbwrapi kihiga, mis k\u00e4ivitab programme ilma isoleerimiseta, et lahendada Firefoxi, Thunderbirdi, GIMP-i k\u00e4ivitamisega seotud probleeme, mis tulenevad glycin 2.0.0 v\u00e4ljakutsest gdk-pixbuf2 abil bwrapi kasutades. Bwrapi kopeerimiseks on lisatud valik \u00ab--allow-bwrap\u00bb.\n
S\u00fcsteemi k\u00f5nede tabelid seccomp'i jaoks on ajakohastatud. Lisatud on uued s\u00fcsteemi k\u00f5ned, n\u00e4iteks epoll_pwait2 ja futex_wait.\n
Kogumise valik \u00ab--disable-globalcfg\u00bb on eemaldatud, overlayfs-i (\u00ab--overlay\u00bb) ja IDS (Intrusion Detection System, \u00ab--ids\u00bb) re\u017eiimi tugi on l\u00f5petatud.\n
Lisatud isolatsiooniprofiilid tekstiredaktori ne (tekstidredaktor), brauseri Trivalent ja m\u00e4ngumootorite OpenRA, quakespasm, gzdoom, lzdoom, uzdoom jaoks.\n
Uuendatud profilid thunderbird, wine, qutebrowser, firefox, godot, wusc, mullvad-brauser, blink, steam, ssh, brave ja hashcat jaoks. <\/ul>\n