{"id":34673,"date":"2019-10-31T21:59:45","date_gmt":"2019-10-31T18:59:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/vypusk-sistemy-izolyatsii-prilozhenij-firejail-0-9-60\/"},"modified":"2019-10-31T21:59:45","modified_gmt":"2019-10-31T18:59:45","slug":"vypusk-sistemy-izolyatsii-prilozhenij-firejail-0-9-60","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/vypusk-sistemy-izolyatsii-prilozhenij-firejail-0-9-60","title":{"rendered":"Sortie du syst\u00e8me d'isolation d'applications Firejail 0.9.60","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

A vu le jour<\/a><\/noindex> version du projet Firejail 0.9.60<\/a><\/noindex>, dans le cadre duquel un syst\u00e8me est d\u00e9velopp\u00e9 pour l'ex\u00e9cution isol\u00e9e d'applications graphiques, console et serveur. L'utilisation de Firejail permet de minimiser le risque de compromission du syst\u00e8me principal lors de l'ex\u00e9cution de programmes peu fiables ou potentiellement vuln\u00e9rables. Le programme est \u00e9crit en langage C, est distribu\u00e9<\/a><\/noindex> sous licence GPLv2 et peut fonctionner sur n'importe quelle distribution Linux avec un noyau sup\u00e9rieur \u00e0 3.0. Des paquets pr\u00eats \u00e0 l'emploi avec Firejail pr\u00e9par\u00e9s<\/a><\/noindex> sont disponibles au format deb (Debian, Ubuntu) et rpm (CentOS, Fedora).<\/p>\n

Pour l'isolation dans Firejail on utilise<\/a><\/noindex> espaces de noms (namespaces), AppArmor et filtrage des appels syst\u00e8me (seccomp-bpf) sous Linux. Apr\u00e8s le lancement, le programme et tous ses processus enfants utilisent des vues de ressources du noyau s\u00e9par\u00e9es, telles que la pile r\u00e9seau, la table des processus et les points de montage. Les applications d\u00e9pendantes peuvent \u00eatre regroup\u00e9es dans un sandbox commun. Si souhait\u00e9, Firejail peut \u00e9galement \u00eatre utilis\u00e9 pour ex\u00e9cuter des conteneurs Docker, LXC et OpenVZ. <\/p>\n

Contrairement aux m\u00e9canismes d'isolation par conteneurs, Firejail est extr\u00eamement simple<\/a><\/noindex> dans la configuration et ne n\u00e9cessite pas de pr\u00e9paration d'une image syst\u00e8me \u2014 la composition du conteneur se forme \u00e0 la vol\u00e9e \u00e0 partir du contenu du syst\u00e8me de fichiers actuel et est supprim\u00e9e apr\u00e8s la fin de l'ex\u00e9cution de l'application. Des moyens flexibles sont fournis pour d\u00e9finir les r\u00e8gles d'acc\u00e8s au syst\u00e8me de fichiers, permettant de d\u00e9terminer les fichiers et r\u00e9pertoires auxquels l'acc\u00e8s est autoris\u00e9 ou interdit, de monter des syst\u00e8mes de fichiers temporaires (tmpfs) pour les donn\u00e9es, de restreindre l'acc\u00e8s aux fichiers ou r\u00e9pertoires en lecture seule, et de combiner des r\u00e9pertoires via bind-mount et overlayfs.<\/p>\n

Des profils d'isolation des appels syst\u00e8me ont \u00e9t\u00e9 pr\u00e9par\u00e9s pour un grand nombre d'applications populaires, y compris Firefox, Chromium, VLC et Transmission. Pour obtenir les privil\u00e8ges n\u00e9cessaires \u00e0 la configuration d'un environnement isol\u00e9, le fichier ex\u00e9cutable firejail est install\u00e9 avec le drapeau SUID root (apr\u00e8s initialisation, les privil\u00e8ges sont r\u00e9initialis\u00e9s). Pour ex\u00e9cuter le programme en mode isolation, il suffit d'indiquer le nom de l'application comme argument de l'utilitaire firejail, par exemple, \u00abfirejail firefox\u00bb ou \u00absudo firejail \/etc\/init.d\/nginx start\u00bb.<\/a><\/noindex> l'isolement des appels syst\u00e8me. Pour ex\u00e9cuter un programme en mode d'isolement, il suffit d'indiquer le nom de l'application comme argument de l'outil firejail, par exemple, \u00ab firejail firefox \u00bb ou \u00ab sudo firejail \/etc\/init.d\/nginx start \u00bb. <\/p>\n

Dans cette nouvelle version :<\/p>\n