долбоор чыгаруу , анын ичинде графикалык, консолдук жана сервердик тиркемелерди обочолонгон аткаруу үчүн система иштелип жатат. Firejailди колдонуу ишенимсиз же потенциалдуу аялуу программаларды иштетип жатканда негизги системаны бузуп алуу коркунучун азайтууга мүмкүндүк берет. Программа Си тилинде жазылган, GPLv2 боюнча лицензияланган жана ядросу 3.0дон ашкан каалаган Linux дистрибутивинде иштей алат. Firejail менен даяр пакеттер deb (Debian, Ubuntu) жана rpm (CentOS, Fedora) форматтарында.
Firejail изоляциясы үчүн пространства имён (namespaces), AppArmor и фильтрация системных вызовов (seccomp-bpf) в Linux. После запуска программа и все её дочерние процессы используют отдельные представления ресурсов ядра, таких как сетевой стек, таблица процессов и точки монтирования. Зависимые между собой приложения можно объединять в один общий sandbox. При желании, Firejail можно применять и для запуска контейнеров Docker, LXC и OpenVZ.
Контейнерди жылуулоочу шаймандардан айырмаланып, Firejail абдан чоң в конфигурации и не требует подготовки системного образа — состав контейнера формируется на лету на основе содержимого текущей ФС и удаляется после завершения работы приложения. Предоставляются гибкие средства задания правил доступа к файловой системе, можно определять к каким файлами и директориям разрешён или запрещён доступ, подключать для данных временные ФС (tmpfs), ограничивать доступа к файлам или директориям только на чтение, совмещать директории через bind-mount и overlayfs.
Көптөгөн популярдуу тиркемелер үчүн, анын ичинде Firefox, Chromium, VLC жана Transmission, даяр изоляции системных вызовов. Для выполнения программы в режиме изоляции достаточно указать имя приложения в качестве аргумента утилиты firejail, например, «firejail firefox» или «sudo firejail /etc/init.d/nginx start».
Жаңы чыгарылышта:
- Устранена уязвимость, позволяющая вредоносному процессу обойти механизм ограничения системных вызовов. Суть уязвимость в том, что фильтры Seccomp копируются в каталог /run/firejail/mnt, доступный на запись внутри изолированного окружения. Запускаемые в режиме изоляции вредоносные процессы могут изменить эти файлы, что приведёт к тому, что новые процессы, запущенные в этом же окружении, будут выполнены без применения фильтра системных вызовов;
- В фильтре memory-deny-write-execute обеспечена блокировка вызова «memfd_create»;
- Добавлена новая опция «private-cwd» для изменения рабочего каталога для jail;
- Добавлена опция «—nodbus» для блокировки сокетов D-Bus;
- Возвращена поддержка CentOS 6;
- поддержка пакетов в форматах и .
, что для данных пакетов следует использовать их собственный инструментарий; - Добавлены новые профили для изоляции 87 дополнительных программ, в числе которых mypaint, nano, xfce4-mixer, gnome-keyring, redshift, font-manager, gconf-editor, gsettings, freeciv, lincity-ng, openttd, torcs, tremulous, warsow, freemind, kid3, freecol, opencity, utox, freeoffice-planmaker, freeoffice-presentations, freeoffice-textmaker, inkview, meteo-qt, ktouch, yelp и cantata.
Source: opennet.ru