फायरजेल आवेदन अलगाव प्रणाली रिलीज 0.9.72

फायरजेल 0.9.72 प्रोजेक्टको रिलीज प्रकाशित गरिएको छ, जसले अविश्वसनीय वा सम्भावित रूपमा कमजोर कार्यक्रमहरू चलाउँदा मुख्य प्रणालीमा सम्झौता गर्ने जोखिमलाई कम गर्न अनुमति दिँदै ग्राफिकल, कन्सोल र सर्भर अनुप्रयोगहरूको पृथक कार्यान्वयनको लागि प्रणाली विकास गर्दछ। कार्यक्रम C मा लेखिएको छ, GPLv2 इजाजतपत्र अन्तर्गत वितरण गरिएको छ र 3.0 भन्दा पुरानो कर्नेलको साथ कुनै पनि लिनक्स वितरणमा चल्न सक्छ। रेडिमेड फायरजेल प्याकेजहरू deb (Debian, Ubuntu) र rpm (CentOS, Fedora) ढाँचाहरूमा तयार हुन्छन्।

अलगावको लागि, फायरजेलले लिनक्समा नेमस्पेस, एपआर्मर र प्रणाली कल फिल्टरिङ (seccomp-bpf) प्रयोग गर्दछ। एक पटक सुरु भएपछि, कार्यक्रम र यसका सबै बाल प्रक्रियाहरूले कर्नेल स्रोतहरूको छुट्टै दृश्यहरू प्रयोग गर्दछ, जस्तै नेटवर्क स्ट्याक, प्रक्रिया तालिका, र माउन्ट पोइन्टहरू। एप्लिकेसनहरू जुन एक अर्कामा निर्भर छन् एक साझा स्यान्डबक्समा जोड्न सकिन्छ। यदि चाहियो भने, फायरजेल डकर, LXC र OpenVZ कन्टेनरहरू चलाउन पनि प्रयोग गर्न सकिन्छ।

कन्टेनर अलगाव उपकरणहरूको विपरीत, फायरजेल कन्फिगर गर्न एकदम सरल छ र प्रणाली छविको तयारी आवश्यक पर्दैन - कन्टेनर संरचना हालको फाइल प्रणालीको सामग्रीको आधारमा फ्लाईमा बनाइन्छ र अनुप्रयोग पूरा भएपछि मेटाइन्छ। फाइल प्रणालीमा पहुँच नियमहरू सेट गर्ने लचिलो माध्यमहरू प्रदान गरिएको छ; तपाइँ कुन फाइलहरू र डाइरेक्टरीहरूलाई अनुमति दिइन्छ वा पहुँच अस्वीकार गर्न सक्नुहुन्छ, डाटाको लागि अस्थायी फाइल प्रणालीहरू (tmpfs) जडान गर्न सक्नुहुन्छ, फाइलहरू वा डाइरेक्टरीहरूमा पहुँच सीमित गर्न सक्नुहुन्छ, पढ्न मात्र, डाइरेक्टरीहरू संयोजन गर्नुहोस्। बाइन्ड-माउन्ट र ओभरलेफहरू।

फायरफक्स, क्रोमियम, वीएलसी र ट्रान्समिसन सहित धेरै लोकप्रिय अनुप्रयोगहरूको लागि, तयार-निर्मित प्रणाली कल अलगाव प्रोफाइलहरू तयार गरिएको छ। स्यान्डबक्स गरिएको वातावरण सेटअप गर्न आवश्यक विशेषाधिकारहरू प्राप्त गर्न, फायरजेल कार्यान्वयनयोग्य SUID रूट फ्ल्यागको साथ स्थापना गरिएको छ (प्रारम्भिकता पछि विशेषाधिकारहरू रिसेट गरिन्छ)। आइसोलेसन मोडमा प्रोग्राम चलाउनको लागि, फायरजेल उपयोगिताको तर्कको रूपमा अनुप्रयोगको नाम निर्दिष्ट गर्नुहोस्, उदाहरणका लागि, "फायरजेल फायरफक्स" वा "सुडो फायरजेल /etc/init.d/nginx start"।

नयाँ रिलीज मा:

• प्रणाली कलहरूको लागि सेकम्प फिल्टर थपियो जसले नेमस्पेसहरूको सिर्जनालाई रोक्छ ("--प्रतिबन्ध-नामस्पेस" विकल्प सक्षम गर्न थपिएको छ)। प्रणाली कल तालिकाहरू र seccomp समूहहरू अद्यावधिक गरियो।
• सुधारिएको force-nonewprivs मोड (NO_NEW_PRIVS), जसले नयाँ प्रक्रियाहरूलाई थप विशेषाधिकारहरू प्राप्त गर्नबाट रोक्छ।
• तपाईंको आफ्नै AppArmor प्रोफाइलहरू प्रयोग गर्ने क्षमता थपियो ("--apparmor" विकल्प जडानको लागि प्रस्ताव गरिएको छ)।
• नेटट्रेस नेटवर्क ट्राफिक ट्र्याकिङ प्रणाली, जसले प्रत्येक ठेगानाबाट IP र ट्राफिक तीव्रता बारे जानकारी देखाउँछ, ICMP समर्थन लागू गर्दछ र "--dnstrace", "--icmptrace" र "--snitrace" विकल्पहरू प्रदान गर्दछ।
• --cgroup र --shell आदेशहरू हटाइएका छन् (पूर्वनिर्धारित --shell=none हो)। फायरटनेल निर्माण पूर्वनिर्धारित रूपमा रोकिएको छ। /etc/firejail/firejail.config मा chroot, private-lib र tracelog सेटिङहरू असक्षम पारियो। grsecurity समर्थन बन्द गरिएको छ।

स्रोत: opennet.ru