{"id":153282,"date":"2026-01-04T11:12:36","date_gmt":"2026-01-04T09:12:36","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-sistemy-izolyaczii-prilozhenij-firejail-0-9-78"},"modified":"2026-01-04T11:12:36","modified_gmt":"2026-01-04T09:12:36","slug":"reliz-sistemy-izolyaczii-prilozhenij-firejail-0-9-78","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/news\/reliz-sistemy-izolyaczii-prilozhenij-firejail-0-9-78","title":{"rendered":"Megjelent a Firejail 0.9.78 alkalmaz\u00e1sizol\u00e1ci\u00f3s rendszer.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Megjelent a Firejail 0.9.78 projekt friss\u00edt\u00e9se, amely egy olyan rendszert fejleszt, amely grafik\u00e1lis, konzolos \u00e9s szerver alkalmaz\u00e1sok elszigetelt futtat\u00e1s\u00e1ra szolg\u00e1l, minimaliz\u00e1lva a f\u0151 rendszer kompromitt\u00e1l\u00e1s\u00e1nak kock\u00e1zat\u00e1t gyan\u00fas vagy potenci\u00e1lisan sebezhet\u0151 programok futtat\u00e1sakor. A program C nyelven \u00edr\u00f3dott, GPLv2 licenc alatt terjesztik, \u00e9s b\u00e1rmely Linux disztrib\u00faci\u00f3n m\u0171k\u00f6dhet, amelynek magja 3.0 vagy \u00fajabb. A Firejail k\u00e9sz csomagjai deb (Debian, Ubuntu) \u00e9s rpm (CentOS, Fedora) form\u00e1tumban \u00e9rhet\u0151k el. <\/p>\n
A Firejail izol\u00e1ci\u00f3j\u00e1hoz n\u00e9vt\u00e9r (namespaces), AppArmor \u00e9s a rendszerh\u00edv\u00e1sok sz\u0171r\u00e9se (seccomp-bpf) haszn\u00e1latos Linux alatt. A program elind\u00edt\u00e1sa ut\u00e1n a program \u00e9s minden sz\u00e1rmaztatott folyamata k\u00fcl\u00f6nb\u00f6z\u0151 kernel er\u0151forr\u00e1s-\u00e1ttekint\u00e9seket haszn\u00e1lnak, mint p\u00e9ld\u00e1ul a h\u00e1l\u00f3zati verem, a folyamatok t\u00e1bl\u00e1zata \u00e9s a csatol\u00e1si pontok. Az egym\u00e1ssal \u00f6sszef\u00fcgg\u0151 alkalmaz\u00e1sokat egy k\u00f6z\u00f6s sandboxba lehet csoportos\u00edtani. A Firejail-t Docker, LXC \u00e9s OpenVZ tart\u00e1lyok futtat\u00e1s\u00e1hoz is alkalmazhatjuk, ha sz\u00fcks\u00e9ges. <\/p>\n
A t\u0171zfalhoz hasonl\u00f3an a firejail konfigur\u00e1l\u00e1sa rendk\u00edv\u00fcl egyszer\u0171, \u00e9s nem ig\u00e9nyel rendszerk\u00e9p el\u0151k\u00e9sz\u00edt\u00e9s\u00e9t \u2014 a kont\u00e9ner tartalma fut\u00e1sid\u0151 alatt j\u00f6n l\u00e9tre a jelenlegi f\u00e1jlrendszer tartalm\u00e1b\u00f3l, \u00e9s az alkalmaz\u00e1s fut\u00e1s\u00e1nak befejez\u00e9s\u00e9vel t\u00f6rl\u0151dik. Rugalmas eszk\u00f6z\u00f6k \u00e1llnak rendelkez\u00e9sre a f\u00e1jlrendszer-hozz\u00e1f\u00e9r\u00e9si szab\u00e1lyok megad\u00e1s\u00e1ra, lehet\u0151v\u00e9 t\u00e9ve, hogy meghat\u00e1rozzuk, mely f\u00e1jlokhoz \u00e9s k\u00f6nyvt\u00e1rakhoz enged\u00e9lyezett vagy tilos a hozz\u00e1f\u00e9r\u00e9s, illetve ideiglenes f\u00e1jlrendszereket (tmpfs) csatlakoztathatunk, korl\u00e1tozhatjuk a hozz\u00e1f\u00e9r\u00e9st a f\u00e1jlokhoz vagy k\u00f6nyvt\u00e1rakhoz csak olvas\u00e1si m\u00f3dban, valamint \u00f6sszek\u00f6thetj\u00fck a k\u00f6nyvt\u00e1rakat bind-mount \u00e9s overlayfs seg\u00edts\u00e9g\u00e9vel. <\/p>\n
Sz\u00e1mos n\u00e9pszer\u0171 alkalmaz\u00e1s, k\u00f6zt\u00fck Firefox, Chromium, VLC \u00e9s Transmission sz\u00e1m\u00e1ra elk\u00e9sz\u00fclt az el\u0151re defini\u00e1lt rendszerv\u00e1lasz-izol\u00e1ci\u00f3s profil. Az izol\u00e1lt k\u00f6rnyezet be\u00e1ll\u00edt\u00e1s\u00e1hoz sz\u00fcks\u00e9ges jogosults\u00e1gokat a firejail v\u00e9grehajthat\u00f3 f\u00e1jl szerzett meg SUID root d\u00edjjal (a jogosults\u00e1gok inicializ\u00e1l\u00e1sa ut\u00e1n t\u00f6rl\u0151dnek). Az alkalmaz\u00e1s izol\u00e1lt m\u00f3dban t\u00f6rt\u00e9n\u0151 futtat\u00e1s\u00e1hoz elegend\u0151 a firejail eszk\u00f6z argumentumainak megad\u00e1s\u00e1val megadni az alkalmaz\u00e1s nev\u00e9t, p\u00e9ld\u00e1ul \"firejail firefox\" vagy \"sudo firejail \/etc\/init.d\/nginx start\". <\/p>\n
Az \u00faj kiad\u00e1sban: <\/p>\n
\n
A firejail.config konfigur\u00e1ci\u00f3s f\u00e1jlhoz hozz\u00e1adott arg-max-count, arg-max-len, env-max-count \u00e9s env-max-len lehet\u0151s\u00e9gek a parancssori opci\u00f3k \u00e9s k\u00f6rnyezeti v\u00e1ltoz\u00f3k sz\u00e1m\u00e1nak \u00e9s m\u00e9ret\u00e9nek korl\u00e1tait m\u00f3dos\u00edtj\u00e1k. Alap\u00e9rtelmez\u00e9s szerint az argumentumok sz\u00e1ma 128-ra, a k\u00f6rnyezeti v\u00e1ltoz\u00f3k sz\u00e1ma 256-ra, \u00e9s minden argumentum m\u00e9rete \u2014 PATH_MAX a limits.h-b\u00f3l (Linux alatt 40196) + 32.\n
\u00daj lehet\u0151s\u00e9g ker\u00fclt bevezet\u00e9sre: \"--xephyr-extra-params\" az extra opci\u00f3k megad\u00e1s\u00e1ra a Xephyr sz\u00e1m\u00e1ra (amelyet sandbox-\u00f6rnyezetek X11 el\u0151\u00e1ll\u00edt\u00e1s\u00e1hoz haszn\u00e1lnak, saj\u00e1t X-szerver fut a k\u00e9perny\u0151n) a parancssorban, a firejail.config m\u00f3dos\u00edt\u00e1sa n\u00e9lk\u00fcl.\n
A sandbox-\u00f6rnyezetbe telep\u00edtett bwrap (bubblewrap) eszk\u00f6zt kicser\u00e9lt\u00e9k a fbwrap r\u00e9tegre, amely ind\u00edtja a programokat izol\u00e1ci\u00f3 n\u00e9lk\u00fcl a Firefox, Thunderbird \u00e9s GIMP ind\u00edt\u00e1s\u00e1val kapcsolatos probl\u00e9m\u00e1k megold\u00e1s\u00e1ra, a glycin 2.0.0 h\u00edv\u00e1sa miatt a gdk-pixbuf2-b\u0151l bwrap haszn\u00e1lat\u00e1val. Az bwrap m\u00e1sol\u00e1s\u00e1hoz \u00faj lehet\u0151s\u00e9get adtunk\"--allow-bwrap\".\n
Friss\u00edtve lettek a seccomp rendszerh\u00edv\u00e1s-t\u00e1bl\u00e1k. \u00daj rendszerh\u00edv\u00e1sok, mint az epoll_pwait2 \u00e9s futex_wait lettek hozz\u00e1adva.\n
A \"--disable-globalcfg\" \u00f6sszeszerel\u00e9si lehet\u0151s\u00e9g elt\u00e1vol\u00edt\u00e1sra ker\u00fclt, a overlayfs (\"--overlay\") \u00e9s az IDS (Intrusion Detection System, \"--ids\") t\u00e1mogat\u00e1sa le\u00e1llt.\n
Hozz\u00e1adva elszigetelt profilok a ne sz\u00f6vegszerkeszt\u0151h\u00f6z, a Trivalent b\u00f6ng\u00e9sz\u0151h\u00f6z \u00e9s az OpenRA, quakespasm, gzdoom, lzdoom, uzdoom j\u00e1t\u00e9k motorokhoz.\n