Firejail აპლიკაციის იზოლაციის სისტემის გამოშვება 0.9.72

გამოქვეყნდა Firejail 0.9.72 პროექტის გამოშვება, რომელიც ავითარებს სისტემას გრაფიკული, კონსოლისა და სერვერის აპლიკაციების იზოლირებული შესრულებისთვის, რაც საშუალებას იძლევა მინიმუმამდე დაიყვანოს ძირითადი სისტემის კომპრომეტირების რისკი არასანდო ან პოტენციურად დაუცველი პროგრამების გაშვებისას. პროგრამა დაწერილია C-ზე, განაწილებულია GPLv2 ლიცენზიით და შეიძლება იმუშაოს Linux-ის ნებისმიერ დისტრიბუციაზე 3.0-ზე ძველი ბირთვით. მზა Firejail პაკეტები მზადდება deb (Debian, Ubuntu) და rpm (CentOS, Fedora) ფორმატებში.

იზოლაციისთვის Firejail იყენებს სახელთა სივრცეებს, AppArmor-ს და სისტემური ზარების ფილტრაციას (seccomp-bpf) Linux-ზე. გაშვების შემდეგ, პროგრამა და მისი ყველა შვილობილი პროცესი იყენებს ბირთვის რესურსების ცალკეულ ხედებს, როგორიცაა ქსელის სტეკი, პროცესის ცხრილი და სამონტაჟო წერტილები. აპლიკაციები, რომლებიც ერთმანეთზეა დამოკიდებული, შეიძლება გაერთიანდეს ერთ საერთო სავარჯიშოში. თუ სასურველია, Firejail ასევე შეიძლება გამოყენებულ იქნას Docker, LXC და OpenVZ კონტეინერების გასაშვებად.

კონტეინერის იზოლაციის ხელსაწყოებისგან განსხვავებით, firejail ძალიან მარტივია კონფიგურაციისთვის და არ საჭიროებს სისტემის გამოსახულების მომზადებას - კონტეინერის კომპოზიცია იქმნება მიმდინარე ფაილური სისტემის შინაარსის საფუძველზე და წაიშლება განაცხადის დასრულების შემდეგ. მოწოდებულია ფაილურ სისტემაში წვდომის წესების დაყენების მოქნილი საშუალებები; თქვენ შეგიძლიათ განსაზღვროთ, რომელ ფაილებსა და დირექტორიაში არის დაშვებული ან აკრძალული წვდომა, დააკავშიროთ დროებითი ფაილური სისტემები (tmpfs) მონაცემებისთვის, შეზღუდოთ წვდომა ფაილებზე ან დირექტორიებზე მხოლოდ წაკითხვაზე, დააკავშიროთ დირექტორიები. bind-mount და overlayfs.

დიდი რაოდენობით პოპულარული აპლიკაციებისთვის, მათ შორის Firefox, Chromium, VLC და Transmission, მომზადდა მზა სისტემური ზარის იზოლაციის პროფილები. Sandboxed გარემოს დასაყენებლად საჭირო პრივილეგიების მისაღებად, firejail შესრულებადი დაინსტალირებულია SUID root დროშით (პრივილეგიები აღდგება ინიციალიზაციის შემდეგ). პროგრამის იზოლაციის რეჟიმში გასაშვებად, უბრალოდ მიუთითეთ აპლიკაციის სახელი, როგორც არგუმენტი firejail უტილიტაში, მაგალითად, „firejail firefox“ ან „sudo firejail /etc/init.d/nginx start“.

ახალ გამოცემაში:

• დამატებულია seccomp ფილტრი სისტემური ზარებისთვის, რომელიც ბლოკავს სახელთა სივრცის შექმნას (ჩასართავად დამატებულია ოფცია „--restrict-namespaces“). განახლებულია სისტემური ზარების ცხრილები და seccomp ჯგუფები.
• გაუმჯობესებული იძულებითი-nonewprivs რეჟიმი (NO_NEW_PRIVS), რომელიც ხელს უშლის ახალ პროცესებს დამატებითი პრივილეგიების მოპოვებაში.
• დამატებულია თქვენი საკუთარი AppArmor პროფილების გამოყენების შესაძლებლობა (დაკავშირებისთვის შემოთავაზებულია "--apparmor" ვარიანტი).
• nettrace ქსელის ტრაფიკის თვალთვალის სისტემა, რომელიც აჩვენებს ინფორმაციას IP და ტრაფიკის ინტენსივობის შესახებ თითოეული მისამართიდან, ახორციელებს ICMP მხარდაჭერას და გთავაზობთ "--dnstrace", "--icmptrace" და "--snitrace" ვარიანტებს.
• --cgroup და --shell ბრძანებები ამოღებულია (ნაგულისხმევი არის --shell=none). Firetunnel-ის აშენება ნაგულისხმევად შეჩერებულია. გამორთულია chroot-ის, private-lib და tracelog პარამეტრების /etc/firejail/firejail.config. grsecurity-ის მხარდაჭერა შეწყდა.

წყარო: opennet.ru