ການປ່ອຍລະບົບການແຍກແອັບພລິເຄຊັນ Firejail 0.9.72

ການປ່ອຍໂຄງການ Firejail 0.9.72 ໄດ້ຖືກຈັດພີມມາ, ເຊິ່ງພັດທະນາລະບົບສໍາລັບການປະຕິບັດທີ່ໂດດດ່ຽວຂອງຄໍາຮ້ອງສະຫມັກກາຟິກ, ຄອນໂຊນແລະເຊີຟເວີ, ອະນຸຍາດໃຫ້ຫຼຸດຜ່ອນຄວາມສ່ຽງຕໍ່ການປະນີປະນອມຂອງລະບົບຕົ້ນຕໍໃນເວລາທີ່ແລ່ນໂຄງການທີ່ບໍ່ຫນ້າເຊື່ອຖືຫຼືມີຄວາມສ່ຽງ. ໂປລແກລມຖືກຂຽນເປັນ C, ແຈກຢາຍພາຍໃຕ້ໃບອະນຸຍາດ GPLv2 ແລະສາມາດດໍາເນີນການກ່ຽວກັບການແຈກຢາຍ Linux ໃດໆທີ່ມີ kernel ເກົ່າກວ່າ 3.0. ແພັກເກດ Firejail ທີ່ກຽມພ້ອມແມ່ນໄດ້ຖືກກະກຽມໃນຮູບແບບ deb (Debian, Ubuntu) ແລະ rpm (CentOS, Fedora).

ສໍາລັບການໂດດດ່ຽວ, Firejail ໃຊ້ namespaces, AppArmor, ແລະການກັ່ນຕອງການໂທລະບົບ (seccomp-bpf) ໃນ Linux. ເມື່ອເປີດຕົວແລ້ວ, ໂປຣແກຣມ ແລະຂະບວນການລູກທັງໝົດຂອງມັນໃຊ້ມຸມມອງແຍກຕ່າງຫາກຂອງຊັບພະຍາກອນ kernel, ເຊັ່ນ: stack network, process table, ແລະ mount point. ຄໍາຮ້ອງສະຫມັກທີ່ຂຶ້ນກັບກັນແລະກັນສາມາດຖືກລວມເຂົ້າກັນເປັນ sandbox ທົ່ວໄປຫນຶ່ງ. ຖ້າຕ້ອງການ, Firejail ຍັງສາມາດຖືກນໍາໃຊ້ເພື່ອດໍາເນີນການ Docker, LXC ແລະ OpenVZ containers.

ບໍ່ເຫມືອນກັບເຄື່ອງມືການແຍກຕູ້ຄອນເທນເນີ, firejail ແມ່ນງ່າຍດາຍທີ່ສຸດທີ່ຈະກໍາຫນົດຄ່າແລະບໍ່ຈໍາເປັນຕ້ອງມີການກະກຽມຮູບພາບຂອງລະບົບ - ອົງປະກອບຂອງບັນຈຸແມ່ນສ້າງຕັ້ງຂຶ້ນໃນການບິນໂດຍອີງໃສ່ເນື້ອໃນຂອງລະບົບໄຟລ໌ໃນປະຈຸບັນແລະຖືກລຶບຖິ້ມຫຼັງຈາກຄໍາຮ້ອງສະຫມັກສໍາເລັດ. ວິທີການທີ່ມີຄວາມຍືດຫຍຸ່ນໃນການກໍານົດກົດລະບຽບການເຂົ້າເຖິງລະບົບໄຟລ໌ແມ່ນສະຫນອງໃຫ້; ທ່ານສາມາດກໍານົດວ່າໄຟລ໌ແລະໄດເລກະທໍລີໃດຖືກອະນຸຍາດຫຼືປະຕິເສດການເຂົ້າເຖິງ, ເຊື່ອມຕໍ່ລະບົບໄຟລ໌ຊົ່ວຄາວ (tmpfs) ສໍາລັບຂໍ້ມູນ, ຈໍາກັດການເຂົ້າເຖິງໄຟລ໌ຫຼືໄດເລກະທໍລີໃຫ້ອ່ານຢ່າງດຽວ, ລວມລາຍຊື່ຜ່ານ bind-mount ແລະ overlayfs.

ສໍາລັບຄໍາຮ້ອງສະຫມັກທີ່ນິຍົມຈໍານວນຫລາຍ, ລວມທັງ Firefox, Chromium, VLC ແລະ Transmission, ໂປໄຟການແຍກການໂທລະບົບທີ່ກຽມພ້ອມໄດ້ຖືກກະກຽມ. ເພື່ອໃຫ້ໄດ້ຮັບສິດທິພິເສດທີ່ຈໍາເປັນເພື່ອຕັ້ງຄ່າສະພາບແວດລ້ອມ sandboxed, firejail executable ໄດ້ຖືກຕິດຕັ້ງດ້ວຍທຸງຮາກ SUID (ສິດທິພິເສດແມ່ນໄດ້ຖືກຕັ້ງຄ່າໃຫມ່ຫຼັງຈາກການເລີ່ມຕົ້ນ). ເພື່ອດໍາເນີນການໂຄງການໃນຮູບແບບການໂດດດ່ຽວ, ພຽງແຕ່ລະບຸຊື່ແອັບພລິເຄຊັນເປັນການໂຕ້ຖຽງກັບຜົນປະໂຫຍດຂອງ firejail, ສໍາລັບຕົວຢ່າງ, "firejail firefox" ຫຼື "sudo firejail /etc/init.d/nginx start".

ໃນການປ່ອຍໃຫມ່:

• ເພີ່ມຕົວກອງ seccomp ສໍາລັບການໂທລະບົບທີ່ຂັດຂວາງການສ້າງ namespaces (ທາງເລືອກ "--restrict-namespaces" ໄດ້ຖືກເພີ່ມເພື່ອເປີດໃຊ້). ອັບເດດຕາຕະລາງການໂທລະບົບ ແລະກຸ່ມ seccomp.
• ປັບປຸງໂໝດ force-nonewprivs (NO_NEW_PRIVS), ເຊິ່ງປ້ອງກັນຂະບວນການໃໝ່ຈາກການໄດ້ຮັບສິດທິພິເສດເພີ່ມເຕີມ.
• ເພີ່ມຄວາມສາມາດໃນການໃຊ້ໂປຣໄຟລ໌ AppArmor ຂອງທ່ານເອງ (ທາງເລືອກ "--apparmor" ແມ່ນສະຫນອງໃຫ້ສໍາລັບການເຊື່ອມຕໍ່).
• ລະບົບການຕິດຕາມການຈະລາຈອນເຄືອຂ່າຍ nettrace, ເຊິ່ງສະແດງຂໍ້ມູນກ່ຽວກັບ IP ແລະຄວາມເຂັ້ມຂົ້ນຂອງການຈະລາຈອນຈາກແຕ່ລະທີ່ຢູ່, ປະຕິບັດການສະຫນັບສະຫນູນ ICMP ແລະສະເຫນີທາງເລືອກ "--dnstrace", "--icmptrace" ແລະ "--snitrace".
• ຄໍາສັ່ງ --cgroup ແລະ --shell ໄດ້ຖືກລຶບອອກແລ້ວ (ຄ່າເລີ່ມຕົ້ນແມ່ນ --shell=none). ການກໍ່ສ້າງ Firetunnel ຖືກຢຸດໂດຍຄ່າເລີ່ມຕົ້ນ. ປິດການນຳໃຊ້ chroot, private-lib ແລະການຕັ້ງຄ່າ tracelog ໃນ /etc/firejail/firejail.config. ການຊ່ວຍເຫຼືອດ້ານຄວາມປອດໄພໄດ້ຖືກຢຸດເຊົາ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru