{"id":106390,"date":"2023-01-19T00:48:17","date_gmt":"2023-01-18T22:48:17","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-sistemy-izolyaczii-prilozhenij-firejail-0-9-72"},"modified":"2023-01-19T00:48:17","modified_gmt":"2023-01-18T22:48:17","slug":"vypusk-sistemy-izolyaczii-prilozhenij-firejail-0-9-72","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/vypusk-sistemy-izolyaczii-prilozhenij-firejail-0-9-72","title":{"rendered":"Sortie du syst\u00e8me d'isolation d'applications Firejail 0.9.72","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

La version 0.9.72 du projet Firejail, qui d\u00e9veloppe un syst\u00e8me d'ex\u00e9cution isol\u00e9e pour les applications graphiques, console et serveur, a \u00e9t\u00e9 publi\u00e9e. Ce syst\u00e8me permet de minimiser le risque de compromission du syst\u00e8me principal lors de l'ex\u00e9cution de programmes peu fiables ou potentiellement vuln\u00e9rables. Le programme est \u00e9crit en C, distribu\u00e9 sous licence GPLv2 et peut fonctionner sur toute distribution Linux avec un noyau sup\u00e9rieur \u00e0 3.0. Des paquets pr\u00eats \u00e0 l'emploi de Firejail sont disponibles au format deb (Debian, Ubuntu) et rpm (CentOS, Fedora). <\/p>\n

Pour l'isolement dans Firejail, des espaces de noms (namespaces), AppArmor et la filtration des appels syst\u00e8me (seccomp-bpf) dans Linux sont utilis\u00e9s. Apr\u00e8s son lancement, le programme et tous ses processus enfants utilisent des vues distinctes des ressources du noyau, telles que la pile r\u00e9seau, la table des processus et les points de montage. Les applications interconnect\u00e9es peuvent \u00eatre regroup\u00e9es dans un sandbox commun. Si souhait\u00e9, Firejail peut \u00e9galement \u00eatre utilis\u00e9 pour ex\u00e9cuter des conteneurs Docker, LXC et OpenVZ. <\/p>\n

Contrairement aux outils d'isolation de conteneurs, Firejail est extr\u00eamement simple \u00e0 configurer et ne n\u00e9cessite pas de pr\u00e9paration d'image syst\u00e8me \u2014 le conteneur se forme \u00e0 la vol\u00e9e en fonction du contenu du syst\u00e8me de fichiers actuel et est supprim\u00e9 apr\u00e8s l'ach\u00e8vement de l'application. Il offre des outils flexibles pour d\u00e9finir des r\u00e8gles d'acc\u00e8s au syst\u00e8me de fichiers, permettant de sp\u00e9cifier quels fichiers et r\u00e9pertoires sont accessibles ou interdits, d'utiliser des syst\u00e8mes de fichiers temporaires (tmpfs), de restreindre l'acc\u00e8s aux fichiers ou r\u00e9pertoires en lecture seule, ainsi que de fusionner des r\u00e9pertoires via bind-mount et overlayfs. <\/p>\n

Pour de nombreuses applications populaires, y compris Firefox, Chromium, VLC et Transmission, des profils d'isolation des appels syst\u00e8me pr\u00eats \u00e0 l'emploi ont \u00e9t\u00e9 \u00e9labor\u00e9s. Pour obtenir les privil\u00e8ges n\u00e9cessaires \u00e0 la configuration d'un environnement isol\u00e9, le fichier ex\u00e9cutable firejail est install\u00e9 avec le drapeau SUID root (une fois initialis\u00e9s, les privil\u00e8ges sont annul\u00e9s). Il suffit de sp\u00e9cifier le nom de l'application comme argument de l'outil firejail pour ex\u00e9cuter le programme en mode isolation, par exemple, \u00abfirejail firefox\u00bb ou \u00absudo firejail \/etc\/init.d\/nginx start\u00bb. <\/p>\n

Dans cette nouvelle version : <\/p>\n