{"id":153282,"date":"2026-01-04T11:12:36","date_gmt":"2026-01-04T09:12:36","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-sistemy-izolyaczii-prilozhenij-firejail-0-9-78"},"modified":"2026-01-04T11:12:36","modified_gmt":"2026-01-04T09:12:36","slug":"reliz-sistemy-izolyaczii-prilozhenij-firejail-0-9-78","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/reliz-sistemy-izolyaczii-prilozhenij-firejail-0-9-78","title":{"rendered":"Firejail rakenduste isoleerimise s\u00fcsteemi versioon 0.9.78","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Avalikkusele on antud Firejail 0.9.78 v\u00e4ljaanne, mis arendab s\u00fcsteemi graafiliste, konsooli- ja serverirakenduste isoleeritud k\u00e4itamiseks, v\u00f5imaldades v\u00e4hendada peamise s\u00fcsteemi kompromiteerimise riski, kui k\u00e4ivitada usaldamatud v\u00f5i potentsiaalselt haavatavad programmid. Programm on kirjutatud C keeles, levitatakse GPLv2 litsentsi alusel ja toimib igas Linuxi jaotustes, mille tuum on vanem kui 3.0. Firejail on saadaval deb (Debian, Ubuntu) ja rpm (CentOS, Fedora) pakettidena. <\/p>\n
Firejailis isoleerimiseks kasutatakse nimes\u00fcne (namespaces), AppArmor'i ja s\u00fcsteemik\u00f5nede filtreerimist (seccomp-bpf) Linuxis. P\u00e4rast k\u00e4ivitamist kasutab programm ja k\u00f5ik selle t\u00fctarprotsessid eraldi tuumaressursside vaateid, nagu v\u00f5rgu t\u00f6\u00f6keskkond, protsesside tabel ja monteerimispunktid. Omavahel s\u00f5ltuvaid rakendusi saab gruppi liita \u00fchte \u00fchisse liivakasti (sandbox). Soovi korral saab Firejaili kasutada ka Docker, LXC ja OpenVZ konteinerite k\u00e4itamiseks. <\/p>\n
Erinevalt konteinerisolatsioonivahenditest on firejail \u00e4\u00e4rmiselt lihtne seadistada ja ei vaja s\u00fcsteemi pildi ettevalmistamist \u2014 konteineri sisu moodustub lennult jooksva failis\u00fcsteemi p\u00f5hjal ja kustutatakse p\u00e4rast rakenduse l\u00f5petamist. Pakutakse paindlikke vahendeid failis\u00fcsteemi juurdep\u00e4\u00e4su reeglite m\u00e4\u00e4ramiseks, mis v\u00f5imaldavad m\u00e4\u00e4rata, millistele failidele ja kataloogidele on juurdep\u00e4\u00e4s lubatud v\u00f5i keelatud, \u00fchendada ajutisi failis\u00fcsteeme (tmpfs) andmete jaoks, piirata juurdep\u00e4\u00e4su failidele v\u00f5i kataloogidele ainult lugemiseks ning \u00fchendada katalooge l\u00e4bi bind-mount ja overlayfs. <\/p>\n
Paljude populaarsete rakenduste, sealhulgas Firefoxi, Chromiumi, VLC ja Transmissioni jaoks, on ette valmistatud valmis s\u00fcsteemikutsumise isolatsiooniprofiilid. Privileegide saamiseks, mis on vajalikud isoleeritud keskkonna konfigureerimiseks, installitakse k\u00e4ivitatav fail firejail SUID root lipuga (p\u00e4rast initsialiseerimist privileegid t\u00fchistatakse). Rakenduse k\u00e4ivitamiseks isoleeritud re\u017eiimis piisab, kui m\u00e4rkida rakenduse nimi firejail utiliidi argumendina, n\u00e4iteks \u201efirejail firefox\u201d v\u00f5i \u201esudo firejail \/etc\/init.d\/nginx start\u201d. <\/p>\n
Uues v\u00e4ljaandes: <\/p>\n
\n
Faili firejail.config on lisatud arg-max-count, arg-max-len, env-max-count ja env-max-len valikud k\u00e4skude rea argumentide ja keskkonnavariable piirangute muutmiseks. Vaikes\u00e4tete kohaselt on argumentide arvu piiratud 128, keskkonnavariable arvu 256, ja iga argumendi suurus on PATH_MAX limits.h-st (Linuxis 40196) + 32.\n
Lisatud valik \u00ab--xephyr-extra-params\u00bb lisav\u00f5imaluste m\u00e4\u00e4ramiseks Xephyr'ile (kasutatakse X11 liivakasti keskkondade loomiseks koos oma X-serveriga, mis k\u00e4ivitatakse aknas) k\u00e4sureal ilma firejail.config faili muutmata.\n
Liivakasti keskkonda installitud utiliit bwrap (bubblewrap) on asendatud fbwrap-i kihiga, mis k\u00e4ivitab programme ilma isoleerimiseta Firefoxi, Thunderbirdi, GIMPi k\u00e4ivitamisprobleemide lahendamiseks, kuna glycin 2.0.0 kutset gdk-pixbuf2 kaudu kasutab bwrap-i. bwrap-i kopindamise asemel on lisatud valik \u00ab--allow-bwrap\u00bb.\n
Seccompi s\u00fcsteemikutsungite tabelid on v\u00e4rskendatud. Lisatud on uusi s\u00fcsteemikutsungeid, nagu epoll_pwait2 ja futex_wait.\n
Lisatud isolatsiooniprofiilid redaktorile ne (tekstiredaktor), brauserile Trivalent ja m\u00e4ngumootoritele OpenRA, quakespasm, gzdoom, lzdoom, uzdoom.\n
Uuendatud profiilid thunderbird'i, wine'i, qutebrowser'i, firefox'i, godot'i, wusc'i, mullvad-brauseri, blink'i, steam'i, ssh, brave ja hashcat'i jaoks. <\/ul>\n