{"id":106390,"date":"2023-01-19T00:48:17","date_gmt":"2023-01-18T22:48:17","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-sistemy-izolyaczii-prilozhenij-firejail-0-9-72"},"modified":"2023-01-19T00:48:17","modified_gmt":"2023-01-18T22:48:17","slug":"vypusk-sistemy-izolyaczii-prilozhenij-firejail-0-9-72","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/vypusk-sistemy-izolyaczii-prilozhenij-firejail-0-9-72","title":{"rendered":"Uitgave van de applicatie-isolatiesysteem Firejail 0.9.72","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
De release van het Firejail-project 0.9.72 is verschenen, dat een systeem ontwikkelt voor de ge\u00efsoleerde uitvoering van grafische, console- en servertoepassingen, waardoor het risico op compromittering van het basissysteem wordt geminimaliseerd bij het uitvoeren van onbetrouwbare of potentieel kwetsbare programma's. Het programma is geschreven in de programmeertaal C, wordt verspreid onder de GPLv2-licentie en kan worden uitgevoerd in elke Linux-distributie met een kernel ouder dan 3.0. Klaar-om-packages van Firejail zijn voorbereid in de formaten deb (Debian, Ubuntu) en rpm (CentOS, Fedora). <\/p>\n
Voor isolatie in Firejail worden namespaces, AppArmor en filtering van systeemaanroepen (seccomp-bpf) in Linux gebruikt. Na de start gebruiken het programma en al zijn dochterprocessen aparte representaties van kernbronnen, zoals de netwerkstack, de proceslijst en de mount-punten. Afhankelijk van elkaar zijnde applicaties kunnen worden samengevoegd in \u00e9\u00e9n gemeenschappelijke sandbox. Indien gewenst, kan Firejail ook worden gebruikt om Docker-, LXC- en OpenVZ-containers uit te voeren. <\/p>\n
In tegenstelling tot containerisoleringsmiddelen is firejail uiterst eenvoudig te configureren en vereist het geen voorbereiding van een systeemafbeelding \u2014 de samenstelling van de container wordt on-the-fly gevormd op basis van de inhoud van het huidige FS en wordt verwijderd na voltooiing van de applicatie. Er worden flexibele middelen aangeboden om toegangsregels voor het bestandssysteem in te stellen, waar je kunt bepalen welke bestanden en directories toegankelijk of ontoegankelijk zijn, tijdelijke FS (tmpfs) kunt koppelen voor gegevens, toegang tot bestanden of directories alleen voor lezen kunt beperken, en directories kunt combineren via bind-mount en overlayfs. <\/p>\n
Voor een groot aantal populaire applicaties, waaronder Firefox, Chromium, VLC en Transmission, zijn kant-en-klare profielen voor het isoleren van systeemoproepen voorbereid. Voor het verkrijgen van de benodigde privileges voor het instellen van een ge\u00efsoleerde omgeving wordt het uitvoerbare bestand firejail ge\u00efnstalleerd met de SUID root-vlag (na initialisatie worden de privileges teruggezet). Voor het uitvoeren van een programma in isolatiemodus is het voldoende om de naam van de applicatie als argument te geven aan het hulpprogramma firejail, bijvoorbeeld 'firejail firefox' of 'sudo firejail \/etc\/init.d\/nginx start'. <\/p>\n
In de nieuwe release: <\/p>\n
\n
Er is een seccomp-filter voor systeemoproepen toegevoegd, dat het cre\u00ebren van namespaces blokkeert (voor inschakeling is de optie \u2018--restrict-namespaces\u2019 toegevoegd). De tabellen voor systeemoproepen en seccomp-groepen zijn bijgewerkt.\n
De modus force-nonewprivs (NO_NEW_PRIVS) is verbeterd, die het verkrijgen van extra privileges in nieuwe processen verbiedt.\n
Er is een mogelijkheid toegevoegd om eigen AppArmor-profielen te gebruiken (de optie \u2018--apparmor\u2019 is voorgesteld voor de verbinding).\n
In het netwerkverkeersmonitoringssysteem nettrace, dat informatie toont over IP-adressen en de intensiteit van het verkeer van elk adres, is ondersteuning voor ICMP gerealiseerd en zijn de opties \u2018--dnstrace\u2019, \u2018--icmptrace\u2019 en \u2018--snitrace\u2019 aangeboden.\n
De commando's \u2018--cgroup\u2019 en \u2018--shell\u2019 zijn verwijderd (standaard is \u2018--shell=none\u2019 van toepassing). De bouw van firetunnel is standaard stopgezet. De instellingen chroot, private-lib en tracelog in \/etc\/firejail\/firejail.config zijn uitgeschakeld. De ondersteuning van grsecurity is stopgezet. <\/ul>\n