फ़ायरजेल एप्लिकेशन आइसोलेशन सिस्टम 0.9.60 का विमोचन

रोशनी देखी परियोजना विमोचन फायरजेल 0.9.60, जिसके अंतर्गत ग्राफ़िकल, कंसोल और सर्वर अनुप्रयोगों के पृथक निष्पादन के लिए एक प्रणाली विकसित की जा रही है। फायरजेल का उपयोग करने से आप अविश्वसनीय या संभावित रूप से कमजोर प्रोग्राम चलाते समय मुख्य सिस्टम से समझौता करने के जोखिम को कम कर सकते हैं। प्रोग्राम C भाषा में लिखा गया है, द्वारा वितरित GPLv2 के अंतर्गत लाइसेंस प्राप्त है और यह 3.0 से पुराने कर्नेल वाले किसी भी लिनक्स वितरण पर चल सकता है। फायरजेल के साथ तैयार पैकेज तैयार डेब (डेबियन, उबंटू) और आरपीएम (सेंटओएस, फेडोरा) प्रारूपों में।

फ़ायरजेल में अलगाव के लिए उपयोग किया जाता है Linux में नेमस्पेस, AppArmor, और सिस्टम कॉल फ़िल्टरिंग (seccomp-bpf)। एक बार लॉन्च होने के बाद, प्रोग्राम और उसकी सभी चाइल्ड प्रक्रियाएं कर्नेल संसाधनों के अलग-अलग दृश्यों का उपयोग करती हैं, जैसे कि नेटवर्क स्टैक, प्रोसेस टेबल और माउंट पॉइंट। जो एप्लिकेशन एक दूसरे पर निर्भर हैं उन्हें एक सामान्य सैंडबॉक्स में जोड़ा जा सकता है। यदि वांछित है, तो फायरजेल का उपयोग डॉकर, एलएक्ससी और ओपनवीजेड कंटेनरों को चलाने के लिए भी किया जा सकता है।

कंटेनर इंसुलेशन टूल के विपरीत, फायरजेल अत्यंत उपयोगी है आसान कॉन्फ़िगरेशन में और सिस्टम छवि की तैयारी की आवश्यकता नहीं है - कंटेनर संरचना वर्तमान फ़ाइल सिस्टम की सामग्री के आधार पर तुरंत बनाई जाती है और एप्लिकेशन पूरा होने के बाद हटा दी जाती है। फ़ाइल सिस्टम तक पहुंच नियमों को सेट करने के लचीले साधन प्रदान किए गए हैं; आप यह निर्धारित कर सकते हैं कि कौन सी फ़ाइलों और निर्देशिकाओं तक पहुंच की अनुमति है या इनकार किया गया है, डेटा के लिए अस्थायी फ़ाइल सिस्टम (tmpfs) को कनेक्ट करें, फ़ाइलों या निर्देशिकाओं तक पहुंच को केवल पढ़ने के लिए सीमित करें, निर्देशिकाओं को संयोजित करें बाइंड-माउंट और ओवरलेफ़्स।

फ़ायरफ़ॉक्स, क्रोमियम, वीएलसी और ट्रांसमिशन सहित बड़ी संख्या में लोकप्रिय एप्लिकेशन के लिए तैयार प्रोफाइल सिस्टम कॉल अलगाव. किसी प्रोग्राम को आइसोलेशन मोड में चलाने के लिए, बस फ़ायरजेल उपयोगिता के तर्क के रूप में एप्लिकेशन नाम निर्दिष्ट करें, उदाहरण के लिए, "फ़ायरजेल फ़ायरफ़ॉक्स" या "सुडो फ़ायरजेल /etc/init.d/nginx प्रारंभ"।

नई रिलीज में:

• एक भेद्यता जो किसी दुर्भावनापूर्ण प्रक्रिया को सिस्टम कॉल प्रतिबंध तंत्र को बायपास करने की अनुमति देती है, उसे ठीक कर दिया गया है। भेद्यता का सार यह है कि Seccomp फ़िल्टर को /run/firejail/mnt निर्देशिका में कॉपी किया जाता है, जो पृथक वातावरण में लिखने योग्य है। आइसोलेशन मोड में चलने वाली दुर्भावनापूर्ण प्रक्रियाएं इन फ़ाइलों को संशोधित कर सकती हैं, जिससे सिस्टम कॉल फ़िल्टर लागू किए बिना उसी वातावरण में चलने वाली नई प्रक्रियाओं को निष्पादित किया जा सकेगा;
• मेमोरी-इनकार-लिखना-निष्पादित फ़िल्टर सुनिश्चित करता है कि "memfd_create" कॉल अवरुद्ध है;
• जेल की कार्यशील निर्देशिका को बदलने के लिए नया विकल्प "प्राइवेट-सीडब्ल्यूडी" जोड़ा गया;
• डी-बस सॉकेट को ब्लॉक करने के लिए "--नोडबस" विकल्प जोड़ा गया;
• CentOS 6 के लिए समर्थन लौटाया गया;
• बंद प्रारूपों में पैकेजों के लिए समर्थन Flatpak и तस्वीर.
  सूचितकि इन पैकेजों को अपने स्वयं के टूलींग का उपयोग करना चाहिए;

• 87 अतिरिक्त प्रोग्रामों को अलग करने के लिए नए प्रोफाइल जोड़े गए हैं, जिनमें मायपेंट, नैनो, एक्सएफसीई4-मिक्सर, गनोम-कीरिंग, रेडशिफ्ट, फॉन्ट-मैनेजर, जीकॉन्फ-एडिटर, जीसेटिंग्स, फ्रीसिव, लिनसिटी-एनजी, ओपनटीटीडी, टॉर्क्स, ट्रेमुलस, वारसो शामिल हैं। फ्रीमाइंड, किड3, फ्रीकॉल, ओपनसिटी, यूटॉक्स, फ्रीऑफिस-प्लानमेकर, फ्रीऑफिस-प्रेजेंटेशन, फ्रीऑफिस-टेक्स्टमेकर, इंकव्यू, मेटियो-क्यूटी, केटच, येल्प और कैंटाटा।

स्रोत: opennet.ru