फायरजेल 0.9.72 ऍप्लिकेशन आयसोलेशन रिलीज

फायरजेल 0.9.72 प्रोजेक्टचे प्रकाशन प्रकाशित केले गेले आहे, जे ग्राफिकल, कन्सोल आणि सर्व्हर ऍप्लिकेशन्सच्या वेगळ्या अंमलबजावणीसाठी एक प्रणाली विकसित करते, जे अविश्वसनीय किंवा संभाव्य असुरक्षित प्रोग्राम चालवताना मुख्य प्रणालीशी तडजोड करण्याचा धोका कमी करण्यास अनुमती देते. प्रोग्राम C मध्ये लिहिलेला आहे, GPLv2 लायसन्स अंतर्गत वितरित केला जातो आणि 3.0 पेक्षा जुन्या कर्नलसह कोणत्याही Linux वितरणावर चालू शकतो. फायरजेलसह तयार पॅकेज डेब (डेबियन, उबंटू) आणि आरपीएम (सेंटओएस, फेडोरा) स्वरूपात तयार केले जातात.

आयसोलेशनसाठी, फायरजेल लिनक्समध्ये नेमस्पेसेस (नेमस्पेसेस), AppArmor आणि सिस्टम कॉल फिल्टरिंग (seccomp-bpf) वापरते. एकदा सुरू झाल्यावर, प्रोग्राम आणि त्याच्या सर्व चाइल्ड प्रक्रिया कर्नल संसाधनांचे वेगळे प्रतिनिधित्व वापरतात जसे की नेटवर्क स्टॅक, प्रक्रिया सारणी आणि माउंट पॉइंट. एकमेकांवर अवलंबून असलेले अनुप्रयोग एका सामान्य सँडबॉक्समध्ये एकत्र केले जाऊ शकतात. इच्छित असल्यास, फायरजेलचा वापर डॉकर, एलएक्ससी आणि ओपनव्हीझेड कंटेनर चालविण्यासाठी देखील केला जाऊ शकतो.

कंटेनर आयसोलेशन टूल्सच्या विपरीत, फायरजेल कॉन्फिगर करणे अत्यंत सोपे आहे आणि त्यास सिस्टम प्रतिमा तयार करण्याची आवश्यकता नाही - सध्याच्या फाइल सिस्टमच्या सामग्रीवर आधारित कंटेनरची रचना तयार केली जाते आणि अनुप्रयोग समाप्त झाल्यानंतर हटविली जाते. फाइल सिस्टम ऍक्सेस नियम सेट करण्यासाठी लवचिक साधने प्रदान केली जातात, आपण कोणत्या फाइल्स आणि निर्देशिकांना परवानगी दिली आहे किंवा प्रवेश नाकारला आहे हे निर्धारित करू शकता, डेटासाठी तात्पुरती फाइल सिस्टम (tmpfs) कनेक्ट करू शकता, फक्त वाचण्यासाठी फाइल्स किंवा निर्देशिकांमध्ये प्रवेश प्रतिबंधित करा, बाइंड-माउंटद्वारे निर्देशिका एकत्र करा. आणि आच्छादन.

फायरफॉक्स, क्रोमियम, व्हीएलसी आणि ट्रान्समिशनसह मोठ्या संख्येने लोकप्रिय अनुप्रयोगांमध्ये प्री-कॉन्फिगर केलेले सिस्टम कॉल आयसोलेशन प्रोफाइल आहेत. सँडबॉक्स वातावरण सेट करण्यासाठी आवश्यक विशेषाधिकार प्राप्त करण्यासाठी, फायरजेल एक्झिक्युटेबल SUID रूट फ्लॅगसह स्थापित केले आहे (प्रारंभानंतर विशेषाधिकार रीसेट केले जातात). आयसोलेशन मोडमध्ये प्रोग्राम कार्यान्वित करण्यासाठी, फायरजेल युटिलिटीसाठी युक्तिवाद म्हणून अनुप्रयोगाचे नाव निर्दिष्ट करणे पुरेसे आहे, उदाहरणार्थ, "फायरजेल फायरफॉक्स" किंवा "सुडो फायरजेल /etc/init.d/nginx start".

नवीन प्रकाशनात:

• नेमस्पेस क्रिएशन ब्लॉक करण्यासाठी seccomp सिस्टम कॉल फिल्टर जोडले (सक्षम करण्यासाठी "--restrict-namespaces" पर्याय जोडला). सिस्टम कॉल टेबल्स आणि seccomp गट अद्यतनित केले.
• नवीन प्रक्रियांना अतिरिक्त विशेषाधिकार मिळण्यापासून प्रतिबंधित करण्यासाठी सुधारित फोर्स-नॉनप्रिव्ह (NO_NEW_PRIVS) मोड.
• तुमची स्वतःची AppArmor प्रोफाइल वापरण्याची क्षमता जोडली आहे (कनेक्शनसाठी "--apparmor" पर्याय ऑफर केला आहे).
• नेटट्रेस नेटवर्क ट्रॅफिक ट्रॅकिंग सिस्टम, जी प्रत्येक पत्त्यावरून आयपी आणि रहदारीच्या तीव्रतेबद्दल माहिती प्रदर्शित करते, ICMP ला समर्थन देते आणि "-dnstrace", "--icmptrace" आणि "--snitrace" पर्याय ऑफर करते.
• --cgroup आणि --shell आदेश काढले (डिफॉल्ट --shell=none आहे). फायरटनेल बिल्ड डीफॉल्टनुसार थांबवले आहे. /etc/firejail/firejail.config मध्ये chroot, खाजगी-lib आणि ट्रेसलॉग सेटिंग्ज अक्षम केली आहेत. grsecurity साठी समर्थन काढले.

स्त्रोत: opennet.ru