Firejail 0.9.72 lage. Li devlope yon sistèm pou ekzekisyon izole aplikasyon grafik, konsole ak sèvè, pou minimize risk pou sistèm prensipal la konpwomèt lè w ap kouri pwogram ki pa fyab oswa ki potansyèlman vilnerab. Pwogram nan ekri an C, distribye anba lisans GPLv2, epi li fonksyone sou nenpòt distribisyon. Linux ak yon nwayo ki pi ansyen pase 3.0. Pakè pare ak Firejail yo prepare nan fòma deb (Debian, Ubuntu) ak rpm (CentOS, Fedora).
Firejail itilize espas non, AppArmor, ak filtraj apèl sistèm (seccomp-bpf) pou izolasyon. LinuxYon fwa li lanse, yon pwogram ak tout pwosesis pitit li yo itilize reprezantasyon separe nan resous nwayo a, tankou pil rezo a, tablo pwosesis la, ak pwen montaj yo. Aplikasyon ki lye youn ak lòt yo ka konbine nan yon sèl sandbox pataje. Firejail kapab tou itilize pou fè fonksyone kontenè Docker, LXC, ak OpenVZ.
Kontrèman ak zouti izolasyon veso yo, firejail trè senp pou konfigirasyon epi li pa mande pou preparasyon yon imaj sistèm - konpozisyon veso a fòme sou vole dapre sa ki nan sistèm dosye aktyèl la epi li efase apre aplikasyon an fini. Yo bay mwayen fleksib pou fikse règ aksè nan sistèm fichye a, ou ka detèmine ki fichye ak anyè yo gen dwa oswa yo refize aksè, konekte sistèm fichye tanporè (tmpfs) pou done, limite aksè nan fichye oswa anyè pou lekti sèlman; bind-mount ak overlayfs.
Pou yon gwo kantite aplikasyon popilè, ki gen ladan Firefox, Chromium, VLC ak Transmisyon, pwofil izolasyon apèl sistèm pare yo te prepare. Pou jwenn privilèj ki nesesè yo mete kanpe yon anviwònman sandboxed, ègzèkutabl firejail la enstale ak drapo rasin SUID (privilèj yo reset apre inisyalizasyon). Pou kouri yon pwogram nan mòd izolasyon, tou senpleman presize non aplikasyon an kòm yon agiman nan sèvis piblik firejail la, pou egzanp, "firejail firefox" oswa "sudo firejail /etc/init.d/nginx start".
Nan nouvo lage a:
- Te ajoute yon filtè seccomp pou apèl sistèm ki bloke kreyasyon namespaces (yo te ajoute opsyon "--restrict-namespaces" pou pèmèt). Mete ajou tab apèl sistèm ak gwoup seccomp.
- Amelyore mòd fòs-nonewprivs (NO_NEW_PRIVS), ki anpeche nouvo pwosesis jwenn privilèj adisyonèl.
- Te ajoute kapasite pou itilize pwòp pwofil AppArmor ou (yo ofri opsyon "--apparmor" pou koneksyon).
- Sistèm Suivi trafik rezo nettrace, ki montre enfòmasyon sou IP ak entansite trafik nan chak adrès, aplike sipò ICMP epi li ofri opsyon "--dnstrace", "--icmptrace" ak "--snitrace".
- Yo te retire kòmandman --cgroup ak --shell (defo a se --shell=none). Konstriksyon Firetunnel sispann pa default. Enfim paramèt chroot, prive-lib ak tracelog nan /etc/firejail/firejail.config. sipò grsecurity te sispann.
Sous: opennet.ru
