Firejail აპლიკაციის იზოლაციის სისტემის გამოშვება 0.9.60

დაინახა სინათლე პროექტის გამოშვება Firejail 0.9.60, რომლის ფარგლებშიც მუშავდება სისტემა გრაფიკული, კონსოლის და სერვერული აპლიკაციების იზოლირებული შესრულებისთვის. Firejail-ის გამოყენება საშუალებას გაძლევთ მინიმუმამდე დაიყვანოთ ძირითადი სისტემის კომპრომეტირების რისკი არასანდო ან პოტენციურად დაუცველი პროგრამების გაშვებისას. პროგრამა დაწერილია C ენაზე, ვრცელდება ლიცენზირებულია GPLv2-ით და შეუძლია გაშვება Linux-ის ნებისმიერ დისტრიბუციაზე 3.0-ზე ძველი ბირთვით. მზა პაკეტები Firejail-ით მომზადდა deb (Debian, Ubuntu) და rpm (CentOS, Fedora) ფორმატებში.

Firejail-ში იზოლაციისთვის გამოყენებულია სახელთა სივრცეები, AppArmor და სისტემური ზარების ფილტრაცია (seccomp-bpf) Linux-ში. გაშვების შემდეგ, პროგრამა და მისი ყველა შვილობილი პროცესი იყენებს ბირთვის რესურსების ცალკეულ ხედებს, როგორიცაა ქსელის სტეკი, პროცესის ცხრილი და სამონტაჟო წერტილები. აპლიკაციები, რომლებიც ერთმანეთზეა დამოკიდებული, შეიძლება გაერთიანდეს ერთ საერთო სავარჯიშოში. თუ სასურველია, Firejail ასევე შეიძლება გამოყენებულ იქნას Docker, LXC და OpenVZ კონტეინერების გასაშვებად.

კონტეინერის საიზოლაციო ხელსაწყოებისგან განსხვავებით, firejail უკიდურესად არის მარტივი კონფიგურაციაში და არ საჭიროებს სისტემის გამოსახულების მომზადებას - კონტეინერის შემადგენლობა იქმნება ფრენის დროს მიმდინარე ფაილური სისტემის შინაარსის საფუძველზე და წაიშლება განაცხადის დასრულების შემდეგ. მოწოდებულია ფაილურ სისტემაში წვდომის წესების დაყენების მოქნილი საშუალებები; თქვენ შეგიძლიათ განსაზღვროთ, რომელ ფაილებსა და დირექტორიაში არის დაშვებული ან აკრძალული წვდომა, დააკავშიროთ დროებითი ფაილური სისტემები (tmpfs) მონაცემებისთვის, შეზღუდოთ წვდომა ფაილებზე ან დირექტორიებზე მხოლოდ წაკითხვაზე, დააკავშიროთ დირექტორიები. bind-mount და overlayfs.

დიდი რაოდენობით პოპულარული აპლიკაციებისთვის, მათ შორის Firefox, Chromium, VLC და Transmission, მზადაა პროფილები სისტემური ზარის იზოლაცია. პროგრამის იზოლაციის რეჟიმში გასაშვებად, უბრალოდ მიუთითეთ აპლიკაციის სახელი, როგორც არგუმენტი firejail უტილიტაში, მაგალითად, „firejail firefox“ ან „sudo firejail /etc/init.d/nginx start“.

ახალ გამოცემაში:

• გამოსწორებულია დაუცველობა, რომელიც მავნე პროცესს საშუალებას აძლევს გვერდის ავლით სისტემური ზარის შეზღუდვის მექანიზმს. დაუცველობის არსი იმაში მდგომარეობს, რომ Seccomp ფილტრები კოპირებულია /run/firejail/mnt დირექტორიაში, რომელიც იზოლირებულ გარემოში იწერება. იზოლაციის რეჟიმში გაშვებულ მავნე პროცესებს შეუძლიათ ამ ფაილების შეცვლა, რაც გამოიწვევს იმავე გარემოში მიმდინარე ახალი პროცესების შესრულებას სისტემური გამოძახების ფილტრის გამოყენების გარეშე;
• მეხსიერების უარყოფა-ჩაწერა-შესრულება ფილტრი უზრუნველყოფს „memfd_create“ ზარის დაბლოკვას;
• დამატებულია ახალი ვარიანტი „private-cwd“ ციხეში სამუშაო დირექტორიას შესაცვლელად;
• დამატებულია "--nodbus" ვარიანტი D-Bus სოკეტების დასაბლოკად;
• დაბრუნდა მხარდაჭერა CentOS 6-ისთვის;
• შეწყდა პაკეტების მხარდაჭერა ფორმატებში ბინაპაკეტი и ვადამდელი.
  დაზუსტებულიარომ ამ პაკეტებმა უნდა გამოიყენონ საკუთარი ხელსაწყოები;

• ახალი პროფილები დაემატა 87 დამატებითი პროგრამის იზოლირებისთვის, მათ შორის mypaint, nano, xfce4-mixer, gnome-keyring, redshift, font-manager, gconf-editor, gsettings, freeciv, lincity-ng, openttd, torcs, tremulous, warsow, freemind, kid3, freecol, opencity, utox, freeoffice-planmaker, freeoffice-პრეზენტაციები, freeoffice-textmaker, inkview, meteo-qt, ktouch, yelp და კანტატა.

წყარო: opennet.ru