{"id":153282,"date":"2026-01-04T11:12:36","date_gmt":"2026-01-04T09:12:36","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-sistemy-izolyaczii-prilozhenij-firejail-0-9-78"},"modified":"2026-01-04T11:12:36","modified_gmt":"2026-01-04T09:12:36","slug":"reliz-sistemy-izolyaczii-prilozhenij-firejail-0-9-78","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/reliz-sistemy-izolyaczii-prilozhenij-firejail-0-9-78","title":{"rendered":"Pubblicato il rilascio del sistema di isolamento delle applicazioni Firejail 0.9.78","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00c8 stato pubblicato il rilascio del progetto Firejail 0.9.78, che sviluppa un sistema per l'esecuzione isolata di applicazioni grafiche, da console e server, consentendo di ridurre al minimo il rischio di compromissione del sistema principale durante l'esecuzione di programmi potenzialmente non affidabili o vulnerabili. Il programma \u00e8 scritto in linguaggio C, distribuito sotto la licenza GPLv2 e pu\u00f2 funzionare su qualsiasi distribuzione Linux con un kernel superiore alla versione 3.0. I pacchetti pronti di Firejail sono disponibili nei formati deb (Debian, Ubuntu) e rpm (CentOS, Fedora). <\/p>\n
Per l'isolamento in Firejail vengono utilizzati gli spazi dei nomi (namespaces), AppArmor e la filtrazione delle chiamate di sistema (seccomp-bpf) in Linux. Dopo l'avvio, il programma e tutti i suoi processi figli utilizzano visioni separate delle risorse del kernel, come lo stack di rete, la tabella dei processi e i punti di montaggio. Le applicazioni interdipendenti possono essere unite in un unico sandbox comune. Se desiderato, Firejail pu\u00f2 essere utilizzato anche per eseguire contenitori Docker, LXC e OpenVZ. <\/p>\n
A differenza degli strumenti di isolamento dei contenitori, firejail \u00e8 estremamente semplice da configurare e non richiede la preparazione di un'immagine di sistema \u2014 la composizione del contenitore viene creata al volo in base al contenuto del file system attuale e viene rimossa dopo la conclusione dell'applicazione. Viene fornito un insieme flessibile di strumenti per definire le regole di accesso al file system, permettendo di stabilire a quali file e directory \u00e8 consentito o negato l'accesso, connettere per i dati file system temporanei (tmpfs), limitare l'accesso a file o directory in sola lettura, e unire directory tramite bind-mount e overlayfs. <\/p>\n
Per un gran numero di applicazioni popolari, tra cui Firefox, Chromium, VLC e Transmission, sono stati preparati profili predefiniti per l'isolamento delle chiamate di sistema. Per ottenere i privilegi necessari per configurare un ambiente isolato, il file eseguibile di firejail viene installato con il flag SUID root (dopo l'inizializzazione, i privilegi vengono reimpostati). Per eseguire un programma in modalit\u00e0 isolamento, \u00e8 sufficiente specificare il nome dell'applicazione come argomento della utility firejail, ad esempio, \u00abfirejail firefox\u00bb o \u00absudo firejail \/etc\/init.d\/nginx start\u00bb. <\/p>\n
Nel nuovo rilascio: <\/p>\n
\n
Nel file di configurazione firejail.config sono state aggiunte le opzioni arg-max-count, arg-max-len, env-max-count e env-max-len per modificare i limiti sul numero e sulla dimensione delle opzioni della riga di comando e delle variabili d'ambiente. Per impostazione predefinita, il numero di argomenti \u00e8 limitato a 128, il numero di variabili d'ambiente a 256, e la dimensione di ogni argomento \u00e8 pari a PATH_MAX da limits.h (in Linux 40196) + 32.\n
\u00c8 stata aggiunta l'opzione \u00ab--xephyr-extra-params\u00bb per specificare opzioni aggiuntive a Xephyr (utilizzato per creare ambienti sandbox X11 con il proprio server X eseguito in una finestra) nella riga di comando senza modificare firejail.config.\n
L'utility bwrap (bubblewrap) installata nell'ambiente sandbox \u00e8 stata sostituita da un'interfaccia fbwrap, che esegue programmi senza isolamento per risolvere i problemi con l'esecuzione di Firefox, Thunderbird, GIMP a causa della chiamata a glycin 2.0.0 da gdk-pixbuf2 utilizzando bwrap. Per copiare bwrap invece dell'interfaccia \u00e8 stata aggiunta l'opzione \u00ab--allow-bwrap\u00bb.\n
Aggiornate le tabelle delle chiamate di sistema per seccomp. Aggiunte nuove chiamate di sistema, come epoll_pwait2 e futex_wait.\n
Opzione di build \u00ab--disable-globalcfg\u00bb rimossa, supporto per overlayfs (\u00ab--overlay\u00bb) e modalit\u00e0 IDS (Intrusion Detection System, \u00ab--ids\u00bb) interrotto.\n
Aggiunti i profili di isolamento per l'editor di testo ne (editor di testo), il browser Trivalent e i motori di gioco OpenRA, quakespasm, gzdoom, lzdoom, uzdoom.\n
Aggiornati i profili per thunderbird, wine, qutebrowser, firefox, godot, wusc, mullvad-browser, blink, steam, ssh, brave e hashcat. <\/ul>\n