È stato pubblicato il rilascio del progetto Firejail 0.9.72, che sviluppa un sistema per l'esecuzione isolata di applicazioni grafiche, console e server, consentendo di ridurre al minimo il rischio di compromissione del sistema principale durante l'avvio di programmi non affidabili o potenzialmente vulnerabili. Il programma è scritto in C, distribuito con licenza GPLv2 e può funzionare su qualsiasi distribuzione Linux con un kernel superiore alla versione 3.0. I pacchetti precompilati di Firejail sono disponibili nei formati deb (Debian, Ubuntu) e rpm (CentOS, Fedora).
Per l'isolamento in Firejail vengono utilizzati gli spazi dei nomi (namespaces), AppArmor e la filtrazione delle chiamate di sistema (seccomp-bpf) in Linux. Dopo l'avvio, il programma e tutti i suoi processi figli utilizzano visioni separate delle risorse del kernel, come lo stack di rete, la tabella dei processi e i punti di mount. Le applicazioni interconnesse possono essere unite in un unico sandbox comune. Se desiderato, Firejail può essere utilizzato anche per eseguire contenitori Docker, LXC e OpenVZ.
A differenza degli strumenti di isolamento dei container, Firejail è estremamente semplice da configurare e non richiede la preparazione di un'immagine di sistema: la composizione del container viene creata al volo in base al contenuto dell'attuale filesystem e viene rimossa al termine dell'esecuzione dell'applicazione. Sono fornuti strumenti flessibili per definire le regole di accesso al filesystem, è possibile specificare quali file e directory abbiano accesso consentito o vietato, collegare filesystem temporanei (tmpfs) per i dati, limitare l'accesso a file o directory in sola lettura, fondere directory tramite bind-mount e overlayfs.
Per un gran numero di applicazioni popolari, tra cui Firefox, Chromium, VLC e Transmission, sono stati preparati profili pronti per l'isolamento delle chiamate di sistema. Per ottenere i privilegi necessari per configurare un ambiente isolato, il file eseguibile di Firejail viene installato con il flag SUID root (dopo l'inizializzazione i privilegi vengono azzerati). Per eseguire il programma in modalità di isolamento, è sufficiente specificare il nome dell'applicazione come argomento della utility Firejail, ad esempio, "firejail firefox" o "sudo firejail /etc/init.d/nginx start".
Nel nuovo rilascio:
- È stato aggiunto un filtro seccomp per le chiamate di sistema, che blocca la creazione degli spazi dei nomi (per abilitare è stata aggiunta l'opzione "—restrict-namespaces"). Sono state aggiornate le tabelle delle chiamate di sistema e dei gruppi seccomp.
- Migliorato il modo force-nonewprivs (NO_NEW_PRIVS), che impedisce l'ottenimento di privilegi aggiuntivi nei nuovi processi.
- È stata aggiunta la possibilità di utilizzare profili AppArmor personalizzati (per il collegamento è stata proposta l'opzione "—apparmor").
- Nel sistema di tracciamento del traffico di rete nettrace, che mostra informazioni su IP e intensità del traffico da ogni indirizzo, è stato implementato il supporto per ICMP e sono state proposte le opzioni "—dnstrace", "—icmptrace" e "—snitrace".
- Rimosse le comandi —cgroup e —shell (per impostazione predefinita viene utilizzato —shell=none). La compilazione di firetunnel è stata interrotta per impostazione predefinita. Le impostazioni chroot, private-lib e tracelog in /etc/firejail/firejail.config sono state disattivate. È terminato il supporto per grsecurity.
Fonte: opennet.ru
