Nakon šest mjeseci razvoja izdanje projekta , unutar kojeg se razvija sustav za izolirano izvođenje grafičkih, konzolnih i poslužiteljskih aplikacija. Korištenje Firejaila omogućuje vam smanjenje rizika od ugrožavanja glavnog sustava pri pokretanju nepouzdanih ili potencijalno ranjivih programa. Program je napisan u C jeziku, licenciran pod GPLv2 i može raditi na bilo kojoj Linux distribuciji s kernelom starijim od 3.0. Gotovi paketi s Firejailom u deb (Debian, Ubuntu) i rpm (CentOS, Fedora) formatima.
Za izolaciju u vatrogasnom zatvoru prostori imena, AppArmor i filtriranje sistemskih poziva (seccomp-bpf) u Linuxu. Nakon pokretanja, program i svi njegovi podređeni procesi koriste zasebne poglede na resurse jezgre, kao što su mrežni stog, tablica procesa i točke montiranja. Aplikacije koje ovise jedna o drugoj mogu se kombinirati u jedan zajednički sandbox. Ako želite, Firejail se također može koristiti za pokretanje Docker, LXC i OpenVZ spremnika.
Za razliku od alata za izolaciju spremnika, protupožarni zatvor je izuzetno jak u konfiguraciji i ne zahtijeva pripremu slike sustava - sastav spremnika se formira u hodu na temelju sadržaja trenutnog datotečnog sustava i briše se nakon završetka aplikacije. Dostupni su fleksibilni načini postavljanja pravila pristupa datotečnom sustavu; možete odrediti kojim datotekama i direktorijima je pristup dopušten ili zabranjen, povezati privremene datotečne sustave (tmpfs) za podatke, ograničiti pristup datotekama ili direktorijima na samo za čitanje, kombinirati direktorije putem bind-mount i overlayfs.
Za veliki broj popularnih aplikacija, uključujući Firefox, Chromium, VLC i Transmission, gotove izolacija poziva sustava. Za dobivanje privilegija potrebnih za postavljanje okruženja u sandboxu, izvršna datoteka firejail se instalira sa SUID root oznakom (privilegije se poništavaju nakon inicijalizacije). Da biste pokrenuli program u izolacijskom načinu rada, jednostavno navedite naziv aplikacije kao argument uslužnom programu firejail, na primjer, “firejail firefox” ili “sudo firejail /etc/init.d/nginx start”.
U novom izdanju:
- U konfiguracijskoj datoteci /etc/firejail/firejail.config postavku file-copy-limit, koja vam omogućuje da ograničite veličinu datoteka koje će se kopirati u memoriju kada koristite opcije “--private-*” (prema zadanim postavkama ograničenje je postavljeno na 500 MB).
- Predlošci za stvaranje novih profila ograničenja aplikacija dodani su u /usr/share/doc/firejail direktorij.
- Profili dopuštaju korištenje programa za ispravljanje pogrešaka.
- Poboljšano filtriranje sistemskih poziva pomoću mehanizma seccomp.
- Omogućeno je automatsko otkrivanje oznaka prevoditelja.
- Chroot poziv se više ne vrši na temelju staze, već pomoću točaka montiranja na temelju deskriptora datoteke.
- Direktorij /usr/share nalazi se na bijelom popisu raznih profila.
- Nove pomoćne skripte gdb-firejail.sh i sort.py dodane su u odjeljak conrib.
- Pojačana zaštita u fazi izvršenja privilegiranog koda (SUID).
- Za profile su implementirani novi uvjetni atributi HAS_X11 i HAS_NET za provjeru prisutnosti X poslužitelja i pristupa mreži.
- Dodani profili za izolirano pokretanje aplikacije (ukupan broj profila povećan na 884):
- i2p,
- tor-preglednik (AUR),
- Zulip,
- rsync
- signal-cli
- tcpdump
- morski pas,
- qgis
- OpenArena,
- godot,
- klatexformula,
- klatexformula_cmdl,
- linkovi,
- xlinkovi,
- pandoc
- timovi-za-linux,
- gnome-snimač zvuka,
- redatelj vijesti,
- keepassxc-cli,
- keepassxc-proxy,
- rhythmbox-klijent,
- Jerry
- revnost,
- mpg123,
- igrati se,
- mpg123.bin,
- mpg123-alsa,
- mpg123-id3dump,
- out123,
- mpg123-utičnica,
- mpg123-nas,
- mpg123-otvoreno,
- mpg123-oss,
- mpg123-portaudio,
- mpg123-puls,
- mpg123-traka,
- pavucontrol-qt,
- gnomovi-likovi,
- gnome-character-map,
- kit ptica,
- tb-starter-wrapper,
- bzcat,
- kiwix-desktop,
- bzcat,
- zstd,
- pzstd,
- zstdcat,
- zstdgrep,
- zstdless,
- zstdmt,
- unzstd,
- ar
- gnom-lateks,
- pngquant
- kalgebra
- kalgebramobile,
- zabavljen
- kfind,
- vulgarnost
- snimač zvuka,
- monitor kamere
- ddgtk
- crtanje,
- unf,
- gmpc,
- elektronska pošta,
- suština
- gist-paste.
Izvor: opennet.ru