ການປ່ອຍລະບົບການແຍກແອັບພລິເຄຊັນ Firejail 0.9.72

Firejail 0.9.72 ໄດ້ຖືກປ່ອຍອອກມາແລ້ວ. ມັນພັດທະນາລະບົບສຳລັບການປະຕິບັດແບບແຍກດ່ຽວຂອງແອັບພລິເຄຊັນກຣາບຟິກ, ຄອນໂຊນ ແລະ ເຊີບເວີ, ເຊິ່ງຊ່ວຍຫຼຸດຜ່ອນຄວາມສ່ຽງໃນການທຳລາຍລະບົບໂຮດເມື່ອໃຊ້ໂປຣແກຣມທີ່ບໍ່ໜ້າເຊື່ອຖື ຫຼື ໂປຣແກຣມທີ່ມີຄວາມສ່ຽງ. ໂປຣແກຣມດັ່ງກ່າວຂຽນດ້ວຍພາສາ C, ແຈກຢາຍພາຍໃຕ້ໃບອະນຸຍາດ GPLv2, ແລະ ເຮັດວຽກໃນການແຈກຢາຍໃດກໍໄດ້. Linux ດ້ວຍ kernel ເກົ່າກວ່າ 3.0. ແພັກເກດທີ່ກຽມພ້ອມດ້ວຍ Firejail ແມ່ນກະກຽມໃນຮູບແບບ deb (Debian, Ubuntu) ແລະ ຮອບຕໍ່ນາທີ (CentOS, ເຟໂດຣາ).

Firejail ໃຊ້ namespaces, AppArmor, ແລະ ການກັ່ນຕອງການເອີ້ນລະບົບ (seccomp-bpf) ສຳລັບການແຍກ. Linuxເມື່ອເປີດໃຊ້ແລ້ວ, ໂປຣແກຣມ ແລະ ຂະບວນການຍ່ອຍທັງໝົດຂອງມັນໃຊ້ຕົວແທນແຍກຕ່າງຫາກຂອງຊັບພະຍາກອນ kernel, ເຊັ່ນ: network stack, process table, ແລະ mount points. ແອັບພລິເຄຊັນທີ່ເພິ່ງພາອາໄສເຊິ່ງກັນແລະກັນສາມາດລວມເຂົ້າກັນເປັນ sandbox ທີ່ໃຊ້ຮ່ວມກັນໄດ້. Firejail ຍັງສາມາດໃຊ້ເພື່ອແລ່ນ Docker, LXC, ແລະ OpenVZ containers ໄດ້.

ບໍ່ເຫມືອນກັບເຄື່ອງມືການແຍກຕູ້ຄອນເທນເນີ, firejail ແມ່ນງ່າຍດາຍທີ່ສຸດທີ່ຈະກໍາຫນົດຄ່າແລະບໍ່ຈໍາເປັນຕ້ອງມີການກະກຽມຮູບພາບຂອງລະບົບ - ອົງປະກອບຂອງບັນຈຸແມ່ນສ້າງຕັ້ງຂຶ້ນໃນການບິນໂດຍອີງໃສ່ເນື້ອໃນຂອງລະບົບໄຟລ໌ໃນປະຈຸບັນແລະຖືກລຶບຖິ້ມຫຼັງຈາກຄໍາຮ້ອງສະຫມັກສໍາເລັດ. ວິທີການທີ່ມີຄວາມຍືດຫຍຸ່ນໃນການກໍານົດກົດລະບຽບການເຂົ້າເຖິງລະບົບໄຟລ໌ແມ່ນສະຫນອງໃຫ້; ທ່ານສາມາດກໍານົດວ່າໄຟລ໌ແລະໄດເລກະທໍລີໃດຖືກອະນຸຍາດຫຼືປະຕິເສດການເຂົ້າເຖິງ, ເຊື່ອມຕໍ່ລະບົບໄຟລ໌ຊົ່ວຄາວ (tmpfs) ສໍາລັບຂໍ້ມູນ, ຈໍາກັດການເຂົ້າເຖິງໄຟລ໌ຫຼືໄດເລກະທໍລີໃຫ້ອ່ານຢ່າງດຽວ, ລວມລາຍຊື່ຜ່ານ bind-mount ແລະ overlayfs.

ສໍາລັບຄໍາຮ້ອງສະຫມັກທີ່ນິຍົມຈໍານວນຫລາຍ, ລວມທັງ Firefox, Chromium, VLC ແລະ Transmission, ໂປໄຟການແຍກການໂທລະບົບທີ່ກຽມພ້ອມໄດ້ຖືກກະກຽມ. ເພື່ອໃຫ້ໄດ້ຮັບສິດທິພິເສດທີ່ຈໍາເປັນເພື່ອຕັ້ງຄ່າສະພາບແວດລ້ອມ sandboxed, firejail executable ໄດ້ຖືກຕິດຕັ້ງດ້ວຍທຸງຮາກ SUID (ສິດທິພິເສດແມ່ນໄດ້ຖືກຕັ້ງຄ່າໃຫມ່ຫຼັງຈາກການເລີ່ມຕົ້ນ). ເພື່ອດໍາເນີນການໂຄງການໃນຮູບແບບການໂດດດ່ຽວ, ພຽງແຕ່ລະບຸຊື່ແອັບພລິເຄຊັນເປັນການໂຕ້ຖຽງກັບຜົນປະໂຫຍດຂອງ firejail, ສໍາລັບຕົວຢ່າງ, "firejail firefox" ຫຼື "sudo firejail /etc/init.d/nginx start".

ໃນການປ່ອຍໃຫມ່:

• ເພີ່ມຕົວກອງ seccomp ສໍາລັບການໂທລະບົບທີ່ຂັດຂວາງການສ້າງ namespaces (ທາງເລືອກ "--restrict-namespaces" ໄດ້ຖືກເພີ່ມເພື່ອເປີດໃຊ້). ອັບເດດຕາຕະລາງການໂທລະບົບ ແລະກຸ່ມ seccomp.
• ປັບປຸງໂໝດ force-nonewprivs (NO_NEW_PRIVS), ເຊິ່ງປ້ອງກັນຂະບວນການໃໝ່ຈາກການໄດ້ຮັບສິດທິພິເສດເພີ່ມເຕີມ.
• ເພີ່ມຄວາມສາມາດໃນການໃຊ້ໂປຣໄຟລ໌ AppArmor ຂອງທ່ານເອງ (ທາງເລືອກ "--apparmor" ແມ່ນສະຫນອງໃຫ້ສໍາລັບການເຊື່ອມຕໍ່).
• ລະບົບການຕິດຕາມການຈະລາຈອນເຄືອຂ່າຍ nettrace, ເຊິ່ງສະແດງຂໍ້ມູນກ່ຽວກັບ IP ແລະຄວາມເຂັ້ມຂົ້ນຂອງການຈະລາຈອນຈາກແຕ່ລະທີ່ຢູ່, ປະຕິບັດການສະຫນັບສະຫນູນ ICMP ແລະສະເຫນີທາງເລືອກ "--dnstrace", "--icmptrace" ແລະ "--snitrace".
• ຄໍາສັ່ງ --cgroup ແລະ --shell ໄດ້ຖືກລຶບອອກແລ້ວ (ຄ່າເລີ່ມຕົ້ນແມ່ນ --shell=none). ການກໍ່ສ້າງ Firetunnel ຖືກຢຸດໂດຍຄ່າເລີ່ມຕົ້ນ. ປິດການນຳໃຊ້ chroot, private-lib ແລະການຕັ້ງຄ່າ tracelog ໃນ /etc/firejail/firejail.config. ການຊ່ວຍເຫຼືອດ້ານຄວາມປອດໄພໄດ້ຖືກຢຸດເຊົາ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru