Na zes maanden ontwikkeling projectrelease , waarin een systeem voor de geïsoleerde uitvoering van grafische, console- en serverapplicaties wordt ontwikkeld. Het gebruik van Firejail minimaliseert het risico op compromittering van het hoofdsyteem bij het starten van niet-vertrouwde of potentiële kwetsbare programma's. De applicatie is geschreven in de programmeertaal C, onder GPLv2-licentie en kan werken op elke Linux-distributie met een kernel ouder dan 3.0. Klaar-voor-gebruik pakketten met Firejail in deb (Debian, Ubuntu) en rpm (CentOS, Fedora) formaten.
Voor isolatie in Firejail namenruimtes (namespaces), AppArmor en filtering van systeemaanroepen (seccomp-bpf) in Linux. Na het starten gebruikt het programma en al zijn subprocessen aparte weergaven van kernbronnen zoals de netwerkstack, proceslijst en mountpunten. Afhankelijk van elkaar zijnde applicaties kunnen worden samengevoegd in één gemeenschappelijke sandbox. Indien gewenst kan Firejail ook worden gebruikt om Docker-, LXC- en OpenVZ-containers te draaien.
In tegenstelling tot containerisolerende middelen is firejail uiterst in de configuratie en vereist geen voorbereiding van een systeemafbeelding — de samenstelling van de container wordt ter plekke gevormd op basis van de inhoud van het huidige bestandssysteem en wordt verwijderd na de voltooiing van de toepassing. Er worden flexibele middelen geboden om toegangsregels voor het bestandssysteem vast te leggen, en het is mogelijk om te bepalen welke bestanden en mappen toegang hebben of geweigerd worden, tijdelijke bestandssystemen (tmpfs) voor gegevens aan te sluiten, toegang tot bestanden of mappen slechts als alleen-lezen te beperken, en mappen te combineren via bind-mount en overlayfs.
Voor een groot aantal populaire applicaties, inclusief Firefox, Chromium, VLC en Transmission, zijn kant-en-klare isolatie van systeemaanroepen. Voor het verkrijgen van de privileges die nodig zijn voor het instellen van een geïsoleerde omgeving, wordt het uitvoerbare bestand firejail geïnstalleerd met de SUID root-vlag (na initialisatie worden de privileges teruggezet). Voor het uitvoeren van een programma in isolatiemodus is het voldoende om de naam van de applicatie op te geven als argument voor de firejail-tool, bijvoorbeeld "firejail firefox" of "sudo firejail /etc/init.d/nginx start".
In de nieuwe release:
- In het configuratiebestand /etc/firejail/firejail.config de instelling file-copy-limit, die de grootte van bestanden beperkt die naar geheugen worden gekopieerd bij gebruik van de opties "—private-*" (standaard is de limiet ingesteld op 500MB).
- In de map /usr/share/doc/firejail zijn sjablonen toegevoegd voor het creëren van nieuwe app-limietprofielen.
- In de profielen is het gebruik van debuggers toegestaan.
- De filtering van systeemaanroepen is verbeterd met behulp van het seccomp-mechanisme.
- Automatische detectie van compiler-flags is verzekerd.
- De chroot-aanroep wordt nu niet meer op basis van paden uitgevoerd, maar met behulp van mountpunten op basis van bestandshandle.
- De map /usr/share is opgenomen in de whitelist van verschillende profielen.
- Nieuwe hulpscripts gdb-firejail.sh en sort.py zijn toegevoegd aan de contrib-sectie.
- De bescherming tijdens de uitvoering van geprivilegieerde code (SUID) is versterkt.
- Voor de profielen zijn nieuwe conditionele kenmerken HAS_X11 en HAS_NET geïmplementeerd voor het controleren van de aanwezigheid van een X-server en netwerkmogelijkheden.
- Profielen voor geïsoleerde uitvoering van applicaties zijn toegevoegd (totaal aantal profielen is verhoogd naar 884):
- i2p,
- tor-browser (AUR),
- Zulip,
- rsync,
- signal-cli,
- tcpdump,
- tshark,
- qgis,
- OpenArena,
- godot,
- klatexformula,
- klatexformula_cmdl,
- links,
- xlinks,
- pandoc,
- teams-for-linux,
- gnome-sound-recorder,
- newsbeuter,
- keepassxc-cli,
- keepassxc-proxy,
- rhythmbox-client,
- jerry,
- zeal,
- mpg123,
- conplay,
- mpg123.bin,
- mpg123-alsa,
- mpg123-id3dump,
- out123,
- mpg123-jack,
- mpg123-nas,
- mpg123-openal,
- mpg123-oss,
- mpg123-portaudio,
- mpg123-pulse,
- mpg123-strip,
- pavucontrol-qt,
- gnome-characters,
- gnome-character-map,
- Whalebird,
- tb-starter-wrapper,
- bzcat,
- kiwix-desktop,
- bzcat,
- zstd,
- pzstd,
- zstdcat,
- zstdgrep,
- zstdless,
- zstdmt,
- unzstd,
- ar,
- gnome-latex,
- pngquant,
- kalgebra,
- kalgebramobile,
- amuled,
- kfind,
- profanity,
- audio-recorder,
- cameramonitor,
- ddgtk,
- drawio,
- unf,
- gmpc,
- electron-mail,
- gist,
- gist-paste.
Bron: opennet.ru
