a projekt kiadását , amely keretében a grafikus, konzolos és szerveralkalmazások elszigetelt végrehajtásához szükséges rendszer fejlődik. A Firejail alkalmazása minimalizálja a fő rendszer kompromittálódásának kockázatát megbízhatatlan vagy potenciálisan sebezhető programok indításakor. A program C nyelven készült, GPLv2 licenc alatt, és bármely Linux disztribúcióban működik, amelynek magja 3.0 vagy annál újabb. Készen elérhető csomagok a Firejail számára deb (Debian, Ubuntu) és rpm (CentOS, Fedora) formátumokban.
A Firejail isolálásához névtér (namespaces), AppArmor és a rendszerhívások szűrése (seccomp-bpf) a Linuxban. A program indítása után a program és annak összes gyermekfolyamat külön erőforrás nézeteket használnak, mint például a hálózati verem, a folyamat táblázat és a csomópontok. A kölcsönösen összefüggő alkalmazások egy közös homokozóban egyesíthetők. Szükség esetén a Firejail használható Docker, LXC és OpenVZ konténerek indításához is.
A konténeres izolálás eszközeihez képest a firejail rendkívül a konfiguráció tekintetében, és nem igényel rendszersablon előkészítést – a konténer összetétele a jelenlegi fájlrendszer tartalmának alapján, valós időben jön létre, és az alkalmazás befejezése után törlésre kerül. Rugalmas eszközök állnak rendelkezésre a fájlrendszerhez való hozzáférési szabályok megadására, lehetőség van arra, hogy meg lehessen határozni, hogy mely fájlokhoz és könyvtárakhoz van engedélyezve vagy megtiltva a hozzáférés, ideiglenes fájlrendszerek (tmpfs) csatlakoztatása a adatokhoz, valamint a fájlokhoz vagy könyvtárakhoz való hozzáférés korlátozása csak olvasási módra, a könyvtárak bind-mount és overlayfs segítségével való összekapcsolásával.
Számos népszerű alkalmazás, például a Firefox, Chromium, VLC és Transmission számára készített a rendszerhívások izolálásához. Az alkalmazás izolált módban történő futtatásához elegendő az alkalmazás nevét megadni a firejail eszköz argumentumaként, például: „firejail firefox” vagy „sudo firejail /etc/init.d/nginx start”.
Az új kiadásban:
- A sebezhetőséget megszüntették, amely lehetővé tette a rosszindulatú folyamat számára a rendszerhívások korlátozó mechanizmusának megkerülését. A sebezhetőség lényege, hogy a Seccomp szűrők a /run/firejail/mnt könyvtárba másolódnak, amely írási jogokat ad az elszigetelt környezeten belül. Az izolált módban futó rosszindulatú folyamatok módosíthatják ezeket a fájlokat, ami azt eredményezi, hogy az ugyanebben a környezetben indított új folyamatok a rendszerhívások szűrője alkalmazása nélkül futnak;
- A memory-deny-write-execute szűrő biztosítja a «memfd_create» hívás blokkolását;
- Új «private-cwd» beállítás került hozzáadásra a börtön munkakönyvtárának módosításához;
- Hozzáadva az «—nodbus» opció, amely letiltja a D-Bus socketeket;
- Visszaállította a CentOS 6 támogatását;
- csomagok támogatása a formátumokban és .
, hogy ezen csomagok esetében a saját eszközkészletüket kell használni; - Új profilok kerültek hozzáadásra 87 további program izolálására, közöttük a mypaint, nano, xfce4-mixer, gnome-keyring, redshift, font-manager, gconf-editor, gsettings, freeciv, lincity-ng, openttd, torcs, tremulous, warsow, freemind, kid3, freecol, opencity, utox, freeoffice-planmaker, freeoffice-presentations, freeoffice-textmaker, inkview, meteo-qt, ktouch, yelp és cantata.
Forrás: opennet.ru
