{"id":106390,"date":"2023-01-19T00:48:17","date_gmt":"2023-01-18T22:48:17","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-sistemy-izolyaczii-prilozhenij-firejail-0-9-72"},"modified":"2023-01-19T00:48:17","modified_gmt":"2023-01-18T22:48:17","slug":"vypusk-sistemy-izolyaczii-prilozhenij-firejail-0-9-72","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/news\/vypusk-sistemy-izolyaczii-prilozhenij-firejail-0-9-72","title":{"rendered":"Megjelent a Firejail 0.9.72 alkalmaz\u00e1s-izol\u00e1l\u00f3 rendszer.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Megjelent a Firejail 0.9.72 projekt friss\u00edt\u00e9se, amely egy olyan rendszert fejleszt, amely lehet\u0151v\u00e9 teszi grafikus, konzolos \u00e9s szerveralkalmaz\u00e1sok elszigetelt v\u00e9grehajt\u00e1s\u00e1t, minimaliz\u00e1lva a f\u0151 rendszer kompromitt\u00e1l\u00e1s\u00e1nak kock\u00e1zat\u00e1t megb\u00edzhatatlan vagy potenci\u00e1lisan s\u00e9r\u00fcl\u00e9keny programok futtat\u00e1sakor. A program C nyelven k\u00e9sz\u00fclt, GPLv2 licenc alatt terjesztik, \u00e9s b\u00e1rmely, 3.0-t meghalad\u00f3 kernel\u0171 Linux disztrib\u00faci\u00f3ban m\u0171k\u00f6dhet. A Firejail k\u00e9sz csomagjai deb (Debian, Ubuntu) \u00e9s rpm (CentOS, Fedora) form\u00e1tumban \u00e9rhet\u0151k el. <\/p>\n
A Firejail izol\u00e1ci\u00f3j\u00e1hoz n\u00e9vt\u00e9r (namespaces), AppArmor \u00e9s a rendszerh\u00edv\u00e1sok sz\u0171r\u00e9se (seccomp-bpf) haszn\u00e1latos Linux alatt. A program elind\u00edt\u00e1sa ut\u00e1n a program \u00e9s minden sz\u00e1rmaztatott folyamata k\u00fcl\u00f6nb\u00f6z\u0151 kernel er\u0151forr\u00e1s-\u00e1ttekint\u00e9seket haszn\u00e1lnak, mint p\u00e9ld\u00e1ul a h\u00e1l\u00f3zati verem, a folyamatok t\u00e1bl\u00e1zata \u00e9s a csatol\u00e1si pontok. Az egym\u00e1ssal \u00f6sszef\u00fcgg\u0151 alkalmaz\u00e1sokat egy k\u00f6z\u00f6s sandboxba lehet csoportos\u00edtani. A Firejail-t Docker, LXC \u00e9s OpenVZ tart\u00e1lyok futtat\u00e1s\u00e1hoz is alkalmazhatjuk, ha sz\u00fcks\u00e9ges. <\/p>\n
A kont\u00e9ner izol\u00e1ci\u00f3s eszk\u00f6zeihez k\u00e9pest a firejail rendk\u00edv\u00fcl egyszer\u0171en konfigur\u00e1lhat\u00f3 \u00e9s nem ig\u00e9nyel rendszerk\u00e9p el\u0151k\u00e9sz\u00edt\u00e9st \u2014 a kont\u00e9ner tartalma a jelenlegi f\u00e1jlrendszer tartalm\u00e1b\u00f3l alakul ki, \u00e9s az alkalmaz\u00e1s befejez\u00e9se ut\u00e1n elt\u00e1vol\u00edt\u00e1sra ker\u00fcl. Rugalmas eszk\u00f6z\u00f6ket biztos\u00edt a f\u00e1jlrendszer hozz\u00e1f\u00e9r\u00e9si szab\u00e1lyainak meghat\u00e1roz\u00e1s\u00e1ra, meg lehet hat\u00e1rozni, hogy mely f\u00e1jlokhoz \u00e9s k\u00f6nyvt\u00e1rakhoz van enged\u00e9lyezve vagy tilthat\u00f3 a hozz\u00e1f\u00e9r\u00e9s, ideiglenes f\u00e1jlrendszerek (tmpfs) csatlakoztat\u00e1sa is lehets\u00e9ges, a f\u00e1jlok vagy k\u00f6nyvt\u00e1rak csak olvas\u00e1si joggal val\u00f3 korl\u00e1toz\u00e1sa, k\u00f6nyvt\u00e1rak egyes\u00edt\u00e9se bind-mount \u00e9s overlayfs haszn\u00e1lat\u00e1val. <\/p>\n
Sz\u00e1mos n\u00e9pszer\u0171 alkalmaz\u00e1s, k\u00f6zt\u00fck Firefox, Chromium, VLC \u00e9s Transmission sz\u00e1m\u00e1ra elk\u00e9sz\u00fclt az el\u0151re defini\u00e1lt rendszerv\u00e1lasz-izol\u00e1ci\u00f3s profil. Az izol\u00e1lt k\u00f6rnyezet be\u00e1ll\u00edt\u00e1s\u00e1hoz sz\u00fcks\u00e9ges jogosults\u00e1gokat a firejail v\u00e9grehajthat\u00f3 f\u00e1jl szerzett meg SUID root d\u00edjjal (a jogosults\u00e1gok inicializ\u00e1l\u00e1sa ut\u00e1n t\u00f6rl\u0151dnek). Az alkalmaz\u00e1s izol\u00e1lt m\u00f3dban t\u00f6rt\u00e9n\u0151 futtat\u00e1s\u00e1hoz elegend\u0151 a firejail eszk\u00f6z argumentumainak megad\u00e1s\u00e1val megadni az alkalmaz\u00e1s nev\u00e9t, p\u00e9ld\u00e1ul \"firejail firefox\" vagy \"sudo firejail \/etc\/init.d\/nginx start\". <\/p>\n
Az \u00faj kiad\u00e1sban: <\/p>\n
\n
Hozz\u00e1adt\u00e1k a rendszerek h\u00edv\u00e1sait blokkol\u00f3 seccomp sz\u0171r\u0151t a n\u00e9vt\u00e9r l\u00e9trehoz\u00e1s\u00e1hoz (ennek enged\u00e9lyez\u00e9s\u00e9hez hozz\u00e1adt\u00e1k a «—restrict-namespaces» opci\u00f3t). Friss\u00edtett\u00e9k a rendszerek h\u00edv\u00e1si t\u00e1bl\u00e1zatait \u00e9s a seccomp csoportokat.\n
Jav\u00edtott\u00e1k a force-nonewprivs (NO_NEW_PRIVS) m\u00f3dot, amely megakad\u00e1lyozza, hogy \u00faj folyamatokban tov\u00e1bbi jogosults\u00e1gokat kapjanak.\n
Hozz\u00e1adt\u00e1k a saj\u00e1t AppArmor profilok haszn\u00e1lat\u00e1nak lehet\u0151s\u00e9g\u00e9t (a csatlakoztat\u00e1shoz a «—apparmor» opci\u00f3 javasolt).\n
A nettrace h\u00e1l\u00f3zati forgalom nyomk\u00f6vet\u0151 rendszerben, amely az IP-c\u00edmek \u00e9s a forgalom intenzit\u00e1s\u00e1r\u00f3l ny\u00fajt inform\u00e1ci\u00f3t, t\u00e1mogat\u00e1s ker\u00fclt az ICMP-re, \u00e9s javasolt\u00e1k a «—dnstrace», «—icmptrace» \u00e9s «—snitrace» opci\u00f3kat.\n
Elt\u00e1vol\u00edtott\u00e1k a —cgroup \u00e9s —shell parancsokat (alap\u00e9rtelmez\u00e9s szerint az —shell=none alkalmazand\u00f3). Alap\u00e9rtelmez\u00e9s szerint le\u00e1ll\u00edtott\u00e1k a firetunnel \u00f6ssze\u00e1ll\u00edt\u00e1s\u00e1t. Kikapcsolt\u00e1k a chroot, private-lib \u00e9s tracelog be\u00e1ll\u00edt\u00e1sokat a \/etc\/firejail\/firejail.config f\u00e1jlban. Le\u00e1llt a grsecurity t\u00e1mogat\u00e1sa. <\/ul>\n