ááŒá±á¬ááºáááŒá¬ááŒá®ážáá±á¬áẠááœá¶á·ááŒáá¯ážááá¯ážáááºááŸá¯ á á®áá¶ááááºážáá¯ááºááŒááºááŒááºážá ááááºáá áºá ááœááºááá¯ážááºááŸáá·áº áá¬áᬠá¡ááá®áá±ážááŸááºážáá»á¬ážááᯠáá®ážááŒá¬ážáá¯ááºáá±á¬ááºááŒááºážá¡ááœáẠá áá áºáá áºáá¯ááᯠáá®ááœááºáá±áá«áááºá Firejail ááá¯á¡áá¯á¶ážááŒá¯ááŒááºážááẠáá¯á¶ááŒááºá áááºáá»ááá±á¬ ááá¯á·ááá¯áẠá¡á¬ážáááºážááá¯ááºááá·áºáááá¯ááááºáá»á¬ážááᯠáá¯ááºáá±á¬ááºáá±áá»áááºááœáẠáááºáá áá áºááᯠááááá¯ááºááá¯ááºááŒá±ááᯠáá»áŸá±á¬á·áá»ááá¯ááºá á±áá«áááºá áááá¯ááááºááᯠC áá¬áá¬á áá¬ážááŒáá·áº áá±ážáá¬ážáá¬ážááŒááºážá GPLv2 á¡á±á¬ááºááœáẠááá¯ááºá ááºááá¬ážááŒá®áž 3.0 á¡ááẠkernel ááŸáááá·áº áááºááá·áº Linux ááŒáá·áºááŒá°ážááŸá¯ááœááºáááᯠáá¯ááºáá±á¬ááºááá¯ááºáááºá Firejail ááŸáá·áºá¡áá° á¡áááºááá·áº áááºáá±á·áá»áºáá»á¬áž deb (Debianá Ubuntu) ááŸáá·áº rpm (CentOS, Fedora) áá±á¬áºáááºáá»á¬ážááœááºá
Firejail ááœáẠáá®ážááŒá¬ážááœá²áá¬ážááẠLinux ááŸá namespacesá AppArmor ááŸáá·áº system call filtering (seccomp-bpf)á á áááºááá¯ááºáááºááŸáá·áºá áááá¯ááááºááŸáá·áº áááºážá ááá±ážáá¯ááºáááºážá ááºáá»á¬ážá¡á¬ážáá¯á¶ážááẠnetwork stacká process table ááŸáá·áº mount point áá»á¬ážáá²á·ááá¯á·áá±á¬ kernel á¡áááºážá¡ááŒá áºáá»á¬ážá áá®ážááŒá¬ážá¡ááŒááºáá»á¬ážááᯠá¡áá¯á¶ážááŒá¯áá«áááºá áá áºáá¯ááŸáá·áºáá áºáᯠááŸá®ááá¯áá±ááá±á¬ á¡ááá®áá±ážááŸááºážáá»á¬ážááᯠáá¯á¶ sandbox áá áºáá¯á¡ááŒá Ạáá±á«ááºážá ááºááá¯ááºáááºá ááá¹áááŸááá«á Firejail ááᯠDockerá LXC ááŸáá·áº OpenVZ ááœááºááááºáá¬áá»á¬ážááᯠá¡áá¯á¶ážááŒá¯ááá¯ááºáááºá
ááœááºááááºáᬠinsulation áááááá¬áá»á¬ážááŸáá·áºááá°áá² firejail áááºá¡ááœááºá¡áááºážááŒá áºáááºá configuration ááœááºá á áá áºáá¯á¶áá áºáá¯áááŒááºáááºááŸá¯áááá¯á¡ááºáá« - áááºááŸáááá¯ááºá áá áºáá¡ááŒá±á¬ááºážá¡áá¬áá»á¬ážá¡áá±á«áºá¡ááŒá±áá¶á ááœááºááááºáá¬ááœá²á·á ááºážááŸá¯á¡á¬áž á¡áá»ááºá¡ááŒááºááœá²á·á ááºážáᬠá¡ááºááºáá®áá±ážááŸááºážááŒá®ážáá¯á¶ážááŒá®ážáá±á¬áẠáá»ááºáá áºááá¯ááºáááºá ááá¯ááºá áá áºááá¯á· áááºáá±á¬ááºááœáá·áºá ááºážáá»ááºážáá»á¬áž áááºááŸááºááŒááºážá ááŒá±á¬ááºážááœááºááŒááºááœááºáááºážáááºážáá»á¬ážááᯠáááºáááºááŸááºááá¯ááºáááºá áááºááá·áºááá¯ááºáá»á¬ážááŸáá·áº áááºážááœáŸááºáá»á¬ážááᯠááœáá·áºááŒá¯áá¬ážááẠááá¯á·ááá¯áẠáááºáá±á¬ááºááœáá·áºááᯠááŒááºážáááºááŒááºážá áá±áá¬á¡ááœáẠáá¬áá®ááá¯ááºá áá áºáá»á¬áž (tmpfs) áá»áááºáááºááŒááºážá ááá¯ááºáá»á¬áž ááá¯á·ááá¯áẠáááºážááœáŸááºáá»á¬ážááá¯á· áááºáá±á¬ááºááœáá·áºááᯠááá·áºáááºááŒááºážá áááºážááœáŸááºáá»á¬ážááŸáááá·áº áá±á«ááºážá ááºááá¯ááºáááºá bind-mount ááŸáá·áº overlayf áá»á¬ážá
Firefoxá Chromiumá VLC ááŸáá·áº Transmission á¡áá«á¡ááẠáá¬áááºááŒá®áž á¡ááá®áá±ážááŸááºáž á¡áá»á¬ážá¡ááŒá¬ážá¡ááœáẠá¡áááºááá·áºáá¯ááºáá¬ážáááºá á áá áºáá±á«áºááá¯ááŸá¯á¡áá®ážáá»ááºá sandboxed áááºáááºážáá»ááºááá¯áááºáá±á¬ááºááẠááá¯á¡ááºáá±á¬á¡ááœáá·áºáá°ážáá»á¬ážááá¯ááá°áááºá firejail executable ááᯠSUID root flag ááŒáá·áºááá·áºááœááºážáá¬ážááẠ(á¡á ááŒá¯ááŒááºážááŒá®ážáá±á¬ááºá¡ááœáá·áºáá°ážáá»á¬ážááá¯ááŒááºáááºáááºááŸááºáááº)á á¡áá®ážáá»ááºáá¯ááºááœáẠáááá¯ááááºáá áºáá¯ááᯠáá¯ááºáá±á¬ááºáááºá firejail utility á¡ááœáẠá¡ááŒááºážá¡áá¯á¶á¡ááŒá Ạá¡ááá®áá±ážááŸááºážá¡áááºááᯠááá¯ážááŸááºážá áœá¬áááºááŸááºáá« á¥ááá¬á "firejail firefox" ááá¯á·ááá¯áẠ"sudo firejail /etc/init.d/nginx start" á
áá¯ááºáá±ááŸá¯á¡áá áºááœááº-
- configuration file ááœáẠ/etc/firejail/firejail.config â--private-*â ááœá±ážáá»ááºááŸá¯áá»á¬ážááᯠá¡áá¯á¶ážááŒá¯áá±á¬á¡áá«ááœáẠáááºááẠááŸááºáá¬ááºáá²ááá¯á· áá°ážáá°ááá·áº ááá¯ááºáá»á¬ážá á¡ááœááºá¡á á¬ážááᯠááá·áºáááºááẠááœáá·áºááŒá¯ááá·áº ááá¯ááº-áááá¹áá°-ááá·áºáááºáááºááẠ(áá¯á¶ááŸááºá¡á¬ážááŒáá·áº ááá·áºáááºáá»ááºááᯠ500MB áááºááŸááºáá¬ážáááº)á
- á¡ááá®áá±ážááŸááºáž ááá·áºáááºáááá¯ááá¯ááºá¡áá áºáá»á¬áž áááºáá®ážáááºá¡ááœáẠáá¯á¶á á¶áááááºáá»á¬ážááᯠ/usr/share/doc/firejail áááºážááœáŸááºááœáẠááá·áºááœááºážáá¬ážáááºá
- áááá¯ááá¯ááºáá»á¬ážááẠá¡ááŸá¬ážááŸá¬áá»á¬áž á¡áá¯á¶ážááŒá¯ááŒááºážááᯠááœáá·áºááŒá¯áááºá
- seccomp ááá¹ááá¬ážááᯠá¡áá¯á¶ážááŒá¯á á áá áºáá±á«áºááá¯ááŸá¯áá»á¬ážááᯠááá¯ááá¯áá±á¬ááºážááœááºá¡á±á¬áẠá á áºáá¯ááºááŒááºážá
- compiler á¡áá¶áá»á¬ážááᯠá¡ááá¯á¡áá»á±á¬áẠáá±á¬ááºááŸááºážáá±ážáá«áááºá
- chroot áá±á«áºááá¯ááŸá¯ááᯠáááºážááŒá±á¬ááºážáá±á«áºá¡ááŒá±áá¶á ááŒá¯áá¯ááºáá±á¬á·áááºááá¯ááºáá±á¬áºáááºáž ááá¯ááºáá±á¬áºááŒáá»ááºá¡áá±á«áºá¡ááŒá±áá¶á mount á¡ááŸááºáá»á¬ážááᯠá¡áá¯á¶ážááŒá¯áá«á
- /usr/share directory ááᯠá¡áá»áá¯ážáá»áá¯ážáá±á¬ áááá¯ááá¯ááºáá»á¬ážááŒáá·áº ááœáá·áºááŒá¯áá¬ážáááºá
- á¡áá°á¡áá®áá±ážáá° script á¡áá áºáá»á¬ážááᯠgdb-firejail.sh ááŸáá·áº sort.py ááᯠconrib ááá¹áááœáẠááá·áºááœááºážáá¬ážáááºá
- á¡ááœáá·áºáá°ážáá¶áá¯áẠ(SUID) á áá¯ááºáá±á¬ááºááŸá¯á¡ááá·áºááœáẠááá¯ááºáá¬áá±á¬á¡áá¬á¡ááœááºá
- áááá¯ááá¯ááºáá»á¬ážá¡ááœááºá áááºááŸááºáá»ááºá¡áá áºááŒá áºáá±á¬ HAS_X11 ááŸáá·áº HAS_NET ááá¯á·ááẠX áá¬áá¬ááŸáá·áº ááœááºáááºáááºáá±á¬ááºááœáá·áºááᯠá á áºáá±ážáááºá¡ááœáẠá¡áá¯á¶ážááŒá¯áá¬ážáááºá
- áá®ážááŒá¬ážá¡ááá®áá±ážááŸááºážá
áááºááŒááºážá¡ááœáẠáááºáá±á¬ááºážáááá¯ááá¯ááºáá»á¬áž (á
á¯á
á¯áá±á«ááºážáááá¯ááá¯ááºážá¡áá±á¡ááœáẠááá ááá¯á·ááá¯ážáá¬áááº)á
- i2pá
- tor-browser (AUR)á
- áá°ážáá áºá
- rsync
- signal-cli
- tcpdump
- ááŸá¬á·ááºá
- qgis
- OpenArenaá
- godotá
- klatexformulaá
- klatexformula_cmdlá
- ááá·áºáá»á¬ážá
- xlinksá
- pandoc
- teams-for-linuxá
- gnome-sound-recorderá
- ááááºážááá¬ážá
- Keepassxc-cliá
- keepassxc-proxyá
- áá áºáááºáá±á¬ááºá áº-ááá¯ááºážá
- áá»ááºáá®
- ááœá²á
- á áá¯ááºážá áá¯ááºážáááºážááŸáá¯áẠáááá
- áá á¬ážáááºážá
- mpg123.biná
- mpg123-alsaá
- mpg123-id3dumpá
- out123á
- mpg123-jacká
- mpg123-nasá
- mpg123-ááœáá·áºá
- mpg123-ossá
- mpg123-portaudioá
- mpg123-ááœá±ážáá¯ááºááŸá¯ááºážá
- á áá¯ááºážá áá¯ááºážáááºážááŸáá¯áẠ123 á ááºážá
- pavucontrol-qtá
- gnome á á¬áá¯á¶ážáá»á¬ážá
- gnome-áá¬ááºáá±á¬ááº-ááŒá±áá¯á¶á
- áá±áááŸááº
- tb-starter-wrapperá
- bzcatá
- áá®áá®áááºá
- bzcatá
- zstdá
- pzstdá
- zstdcatá
- zstdgrepá
- zstdlessá
- zstdmtá
- unzstdá
- ará
- gnome-latexá
- pngquant
- calgebra
- Kalgebramobileá
- amuled
- kfindá
- áá²ááá¯ááŒááºážá
- á¡áá¶áááºážá ááºá
- áááºááá¬áá±á¬áºáá®áá¬
- ddgtk
- ááœá²á
- unfá
- gmpcá
- á¡á®áááºáááœááºáá±ážááºá
- á¡ááŸá áºáá»á¯ááºá
- gist-áá«ážááá
source: opennet.ru