फायरजेल 0.9.60 ऍप्लिकेशन आयसोलेशन रिलीज

प्रकाश पाहिला प्रकल्प प्रकाशन फायरजेल ०.९.६२, ज्यामध्ये ग्राफिकल, कन्सोल आणि सर्व्हर ऍप्लिकेशन्सच्या वेगळ्या अंमलबजावणीसाठी एक प्रणाली विकसित केली जात आहे. फायरजेल वापरणे तुम्हाला अविश्वासू किंवा संभाव्य असुरक्षित प्रोग्राम चालवताना मुख्य प्रणालीशी तडजोड करण्याचा धोका कमी करण्यास अनुमती देते. कार्यक्रम सी भाषेत लिहिलेला आहे, द्वारा वितरित GPLv2 अंतर्गत परवानाकृत आणि 3.0 पेक्षा जुन्या कर्नलसह कोणत्याही Linux वितरणावर चालवू शकतो. फायरजेलसह तयार पॅकेजेस तयार deb (Debian, Ubuntu) आणि rpm (CentOS, Fedora) फॉरमॅटमध्ये.

फायरजेलमध्ये अलगावसाठी वापरले जातात Linux मध्ये नेमस्पेसेस, AppArmor आणि सिस्टम कॉल फिल्टरिंग (seccomp-bpf). एकदा लाँच झाल्यानंतर, प्रोग्राम आणि त्याच्या सर्व चाइल्ड प्रक्रिया कर्नल संसाधनांचे स्वतंत्र दृश्य वापरतात, जसे की नेटवर्क स्टॅक, प्रक्रिया सारणी आणि माउंट पॉइंट. एकमेकांवर अवलंबून असलेले अनुप्रयोग एका सामान्य सँडबॉक्समध्ये एकत्र केले जाऊ शकतात. इच्छित असल्यास, फायरजेलचा वापर डॉकर, एलएक्ससी आणि ओपनव्हीझेड कंटेनर चालविण्यासाठी देखील केला जाऊ शकतो.

कंटेनर इन्सुलेशन टूल्सच्या विपरीत, फायरजेल अत्यंत आहे सोपे कॉन्फिगरेशनमध्ये आणि सिस्टम प्रतिमा तयार करण्याची आवश्यकता नाही - वर्तमान फाइल सिस्टमच्या सामग्रीवर आधारित कंटेनरची रचना फ्लायवर तयार केली जाते आणि अनुप्रयोग पूर्ण झाल्यानंतर हटविली जाते. फाइल सिस्टममध्ये प्रवेश नियम सेट करण्याचे लवचिक माध्यम प्रदान केले आहेत; तुम्ही कोणत्या फाइल्स आणि डिरेक्टरींना परवानगी दिली आहे किंवा प्रवेश नाकारला आहे हे निर्धारित करू शकता, डेटासाठी तात्पुरती फाइल सिस्टम (tmpfs) कनेक्ट करू शकता, फक्त वाचण्यासाठी फाइल्स किंवा निर्देशिकांचा प्रवेश मर्यादित करू शकता, याद्वारे निर्देशिका एकत्र करू शकता. bind-mount आणि overlayfs.

फायरफॉक्स, क्रोमियम, व्हीएलसी आणि ट्रान्समिशनसह मोठ्या संख्येने लोकप्रिय अनुप्रयोगांसाठी, तयार प्रोफाइल सिस्टम कॉल अलगाव. आयसोलेशन मोडमध्‍ये प्रोग्राम चालवण्‍यासाठी, फायरजेल युटिलिटीसाठी वितर्क म्हणून ऍप्लिकेशनचे नाव निर्दिष्ट करा, उदाहरणार्थ, “फायरजेल फायरफॉक्स” किंवा “सुडो फायरजेल /etc/init.d/nginx start”.

नवीन प्रकाशनात:

• दुर्भावनापूर्ण प्रक्रियेस अनुमती देणारी असुरक्षा सिस्टीम कॉल प्रतिबंध यंत्रणा बाईपास करण्यासाठी निश्चित केली गेली आहे. भेद्यतेचे सार हे आहे की Seccomp फिल्टर्स /run/firejail/mnt निर्देशिकेत कॉपी केले जातात, जे वेगळ्या वातावरणात लिहिण्यायोग्य आहे. आयसोलेशन मोडमध्ये चालणाऱ्या दुर्भावनापूर्ण प्रक्रिया या फाइल्समध्ये बदल करू शकतात, ज्यामुळे सिस्टम कॉल फिल्टर लागू न करता त्याच वातावरणात चालणाऱ्या नवीन प्रक्रिया चालवल्या जातील;
• मेमरी-नकार-राइट-एक्झिक्युट फिल्टर खात्री करतो की “memfd_create” कॉल ब्लॉक केला आहे;
• जेलसाठी कार्यरत डिरेक्टरी बदलण्यासाठी नवीन पर्याय "private-cwd" जोडला;
• डी-बस सॉकेट्स ब्लॉक करण्यासाठी "--nodbus" पर्याय जोडला;
• CentOS 6 साठी समर्थन परत केले;
• बंद केले स्वरूपातील पॅकेजेससाठी समर्थन फ्लॅटपॅक и स्नॅप.
  निर्दिष्टया पॅकेजने त्यांचे स्वतःचे टूलिंग वापरावे;

• mypaint, nano, xfce87-mixer, gnome-keyring, redshift, font-manager, gconf-editor, gsettings, freeciv, lincity-ng, openttd, torcs, tremulous, warsow, यासह 4 अतिरिक्त प्रोग्राम वेगळे करण्यासाठी नवीन प्रोफाइल जोडले गेले आहेत. फ्रीमाइंड, किड3, फ्रीकोल, ओपनसिटी, यूटॉक्स, फ्रीऑफिस-प्लॅनमेकर, फ्रीऑफिस-प्रेझेंटेशन्स, फ्रीऑफिस-टेक्स्टमेकर, इंकव्ह्यू, मेटिओ-क्यूटी, केटूच, येल्प आणि कॅनटाटा.

स्त्रोत: opennet.ru