{"id":54610,"date":"2019-12-30T00:00:00","date_gmt":"2019-12-29T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/vypusk-sistemy-izolyatsii-prilozhenij-firejail-0-9-62"},"modified":"2020-02-18T14:02:39","modified_gmt":"2020-02-18T11:02:39","slug":"vypusk-sistemy-izolyatsii-prilozhenij-firejail-0-9-62","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/vypusk-sistemy-izolyatsii-prilozhenij-firejail-0-9-62","title":{"rendered":"Sortie du syst\u00e8me d'isolation d'applications Firejail 0.9.62","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Apr\u00e8s six mois de d\u00e9veloppement disponible<\/a><\/noindex> version du projet Firejail 0.9.62<\/a><\/noindex>, dans le cadre duquel un syst\u00e8me est d\u00e9velopp\u00e9 pour l'ex\u00e9cution isol\u00e9e d'applications graphiques, console et serveur. L'utilisation de Firejail permet de minimiser le risque de compromission du syst\u00e8me principal lors de l'ex\u00e9cution de programmes peu fiables ou potentiellement vuln\u00e9rables. Le programme est \u00e9crit en langage C, est distribu\u00e9<\/a><\/noindex> sous licence GPLv2 et peut fonctionner sur n'importe quelle distribution Linux avec un noyau sup\u00e9rieur \u00e0 3.0. Des paquets pr\u00eats \u00e0 l'emploi avec Firejail pr\u00e9par\u00e9s<\/a><\/noindex> sont disponibles au format deb (Debian, Ubuntu) et rpm (CentOS, Fedora).<\/p>\n

Pour l'isolation dans Firejail on utilise<\/a><\/noindex> des espaces de noms (namespaces), AppArmor et la filtration des appels syst\u00e8me (seccomp-bpf) dans Linux. Apr\u00e8s son lancement, le programme et tous ses processus enfants utilisent des vues distinctes des ressources du noyau, telles que la pile r\u00e9seau, la table des processus et les points de montage. Les applications interd\u00e9pendantes peuvent \u00eatre regroup\u00e9es dans un seul sandbox. Si d\u00e9sir\u00e9, Firejail peut \u00e9galement \u00eatre utilis\u00e9 pour ex\u00e9cuter des conteneurs Docker, LXC et OpenVZ. <\/p>\n

Contrairement aux m\u00e9canismes d'isolation par conteneurs, Firejail est extr\u00eamement simple<\/a><\/noindex> dans la configuration et ne n\u00e9cessite pas de pr\u00e9paration d'image syst\u00e8me \u2014 la composition du conteneur se forme \u00e0 la vol\u00e9e en fonction du contenu du syst\u00e8me de fichiers actuel et est supprim\u00e9e apr\u00e8s la fin de l'application. Des moyens flexibles sont fournis pour \u00e9tablir des r\u00e8gles d'acc\u00e8s au syst\u00e8me de fichiers, permettant de sp\u00e9cifier \u00e0 quels fichiers et r\u00e9pertoires l'acc\u00e8s est autoris\u00e9 ou interdit, de connecter des syst\u00e8mes de fichiers temporaires (tmpfs) pour les donn\u00e9es, de restreindre l'acc\u00e8s \u00e0 des fichiers ou r\u00e9pertoires en lecture seule, et de combiner des r\u00e9pertoires via bind-mount et overlayfs.<\/p>\n

Des profils d'isolation des appels syst\u00e8me ont \u00e9t\u00e9 pr\u00e9par\u00e9s pour un grand nombre d'applications populaires, y compris Firefox, Chromium, VLC et Transmission. Pour obtenir les privil\u00e8ges n\u00e9cessaires \u00e0 la configuration d'un environnement isol\u00e9, le fichier ex\u00e9cutable firejail est install\u00e9 avec le drapeau SUID root (apr\u00e8s initialisation, les privil\u00e8ges sont r\u00e9initialis\u00e9s). Pour ex\u00e9cuter le programme en mode isolation, il suffit d'indiquer le nom de l'application comme argument de l'utilitaire firejail, par exemple, \u00abfirejail firefox\u00bb ou \u00absudo firejail \/etc\/init.d\/nginx start\u00bb.<\/a><\/noindex> d'isolement des appels syst\u00e8me. Pour obtenir les privil\u00e8ges n\u00e9cessaires \u00e0 la configuration d'un environnement isol\u00e9, le fichier ex\u00e9cutable firejail est install\u00e9 avec le drapeau SUID root (les privil\u00e8ges sont r\u00e9initialis\u00e9s apr\u00e8s l'initialisation). Pour ex\u00e9cuter un programme en mode d'isolement, il suffit de sp\u00e9cifier le nom de l'application comme argument de l'outil firejail, par exemple, \u00ab firejail firefox \u00bb ou \u00ab sudo firejail \/etc\/init.d\/nginx start \u00bb. <\/p>\n

Dans cette nouvelle version :<\/p>\n