De release van het Firejail-project 0.9.78 is gepubliceerd, dat een systeem ontwikkelt voor geïsoleerde uitvoering van grafische, console- en serverapplicaties, waardoor het risico op compromittering van het onderliggende systeem bij het uitvoeren van niet-vertrouwde of potentieel kwetsbare programma's minimaal wordt. Het programma is geschreven in C, wordt verspreid onder de GPLv2-licentie en kan draaien op elke Linux-distributie met een kernel ouder dan 3.0. Klaarstaande pakketten met Firejail zijn verkrijgbaar in deb-formaten (Debian, Ubuntu) en rpm-formaten (CentOS, Fedora).
Voor isolatie in Firejail worden namespaces, AppArmor en filtering van systeemaanroepen (seccomp-bpf) in Linux gebruikt. Na de start gebruiken het programma en al zijn dochterprocessen aparte representaties van kernbronnen, zoals de netwerkstack, de proceslijst en de mount-punten. Afhankelijk van elkaar zijnde applicaties kunnen worden samengevoegd in één gemeenschappelijke sandbox. Indien gewenst, kan Firejail ook worden gebruikt om Docker-, LXC- en OpenVZ-containers uit te voeren.
In tegenstelling tot containerisolerende middelen is Firejail uiterst eenvoudig te configureren en vereist het geen voorbereiding van een systeeme afbeelding — de samenstelling van de container wordt on-the-fly gevormd op basis van de inhoud van het huidige bestandssysteem en wordt na afloop van de applicatie verwijderd. Flexibele middelen voor het definiëren van toegangregels tot het bestandssysteem worden geboden, waarmee kan worden bepaald tot welke bestanden en mappen toegang is toegestaan of verboden, tijdelijke bestanden-systemen (tmpfs) kunnen worden aangesloten voor gegevens, toegang tot bestanden of mappen kan worden beperkt tot alleen-lezen, en mappen kunnen worden gecombineerd via bind-mount en overlayfs.
Voor een groot aantal populaire applicaties, waaronder Firefox, Chromium, VLC en Transmission, zijn kant-en-klare profielen voor isolatie van systeemaanroepen voorbereid. Om de vereiste privileges te verkrijgen voor het instellen van de geïsoleerde omgeving, wordt het uitvoerbare bestand firejail geïnstalleerd met de SUID root-vlag (na initialisatie worden de privileges opgeheven). Om het programma in isolation mode uit te voeren, is het voldoende om de naam van de applicatie als argument voor de firejail-tool op te geven, bijvoorbeeld "firejail firefox" of "sudo firejail /etc/init.d/nginx start".
In de nieuwe release:
- In het configuratiebestand firejail.config zijn de opties arg-max-count, arg-max-len, env-max-count en env-max-len toegevoegd om de limieten voor het aantal en de grootte van opdrachtregelargumenten en omgevingsvariabelen te wijzigen. Standaard is het aantal argumenten beperkt tot 128, het aantal omgevingsvariabelen tot 256 en de grootte van ieder argument - PATH_MAX uit limits.h (in Linux 40196) + 32.
- De optie «—xephyr-extra-params» is toegevoegd om extra opties voor Xephyr (gebruikt voor het creëren van sandbox-omgevingen voor X11 met een eigen X-server, uitgevoerd in een venster) op te geven in de opdrachtregel zonder firejail.config te wijzigen.
- De in de sandbox uitgevoerde tool bwrap (bubblewrap) is vervangen door de laag fbwrap, die programma's zonder isolatie uitvoert om problemen met het starten van Firefox, Thunderbird, GIMP op te lossen vanwege de aanroep van glycin 2.0.0 vanuit gdk-pixbuf2 met gebruik van bwrap. Om bwrap in plaats van de laag toe te staan, is de optie «—allow-bwrap» toegevoegd.
- De system call-tabellen voor seccomp zijn bijgewerkt. Nieuwe systeemaanroepen zoals epoll_pwait2 en futex_wait zijn toegevoegd.
- De bouwoptie «—disable-globalcfg» is verwijderd, de ondersteuning voor overlayfs («—overlay») en de IDS-modus (Intrusion Detection System, «—ids») is stopgezet.
- Isolatieprofielen zijn toegevoegd voor de teksteditor ne (teksteditor), de browser Trivalent en de game-engines OpenRA, quakespasm, gzdoom, lzdoom, uzdoom.
- Profielen zijn bijgewerkt voor thunderbird, wine, qutebrowser, firefox, godot, wusc, mullvad-browser, blink, steam, ssh, brave en hashcat.
Bron: opennet.ru
