{"id":153282,"date":"2026-01-04T11:12:36","date_gmt":"2026-01-04T09:12:36","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-sistemy-izolyaczii-prilozhenij-firejail-0-9-78"},"modified":"2026-01-04T11:12:36","modified_gmt":"2026-01-04T09:12:36","slug":"reliz-sistemy-izolyaczii-prilozhenij-firejail-0-9-78","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/reliz-sistemy-izolyaczii-prilozhenij-firejail-0-9-78","title":{"rendered":"Release van het applicatie-isolatiesysteem Firejail 0.9.78","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
De release van het Firejail-project 0.9.78 is gepubliceerd, dat een systeem ontwikkelt voor ge\u00efsoleerde uitvoering van grafische, console- en serverapplicaties, waardoor het risico op compromittering van het onderliggende systeem bij het uitvoeren van niet-vertrouwde of potentieel kwetsbare programma's minimaal wordt. Het programma is geschreven in C, wordt verspreid onder de GPLv2-licentie en kan draaien op elke Linux-distributie met een kernel ouder dan 3.0. Klaarstaande pakketten met Firejail zijn verkrijgbaar in deb-formaten (Debian, Ubuntu) en rpm-formaten (CentOS, Fedora). <\/p>\n
Voor isolatie in Firejail worden namespaces, AppArmor en filtering van systeemaanroepen (seccomp-bpf) in Linux gebruikt. Na de start gebruiken het programma en al zijn dochterprocessen aparte representaties van kernbronnen, zoals de netwerkstack, de proceslijst en de mount-punten. Afhankelijk van elkaar zijnde applicaties kunnen worden samengevoegd in \u00e9\u00e9n gemeenschappelijke sandbox. Indien gewenst, kan Firejail ook worden gebruikt om Docker-, LXC- en OpenVZ-containers uit te voeren. <\/p>\n
In tegenstelling tot containerisolatiemiddelen is firejail uiterst eenvoudig te configureren en vereist het geen voorbereiding van een systeemafbeelding \u2014 de samenstelling van de container wordt on-the-fly gevormd op basis van de inhoud van het huidige bestandssysteem en wordt verwijderd na afloop van de applicatie. Er zijn flexibele middelen beschikbaar om toegangsregels voor het bestandssysteem in te stellen, waarmee kan worden bepaald tot welke bestanden en mappen toegang is toegestaan of geweigerd, tijdelijke bestandssystemen (tmpfs) voor gegevens kunnen worden aangesloten, toegang tot bestanden of mappen alleen voor lezen kan worden beperkt, en mappen via bind-mount en overlayfs kunnen worden samengevoegd. <\/p>\n
Voor een groot aantal populaire applicaties, waaronder Firefox, Chromium, VLC en Transmission, zijn kant-en-klare profielen voor het isoleren van systeemoproepen voorbereid. Voor het verkrijgen van de benodigde privileges voor het instellen van een ge\u00efsoleerde omgeving wordt het uitvoerbare bestand firejail ge\u00efnstalleerd met de SUID root-vlag (na initialisatie worden de privileges teruggezet). Voor het uitvoeren van een programma in isolatiemodus is het voldoende om de naam van de applicatie als argument te geven aan het hulpprogramma firejail, bijvoorbeeld 'firejail firefox' of 'sudo firejail \/etc\/init.d\/nginx start'. <\/p>\n
In de nieuwe release: <\/p>\n
\n
Opties arg-max-count, arg-max-len, env-max-count en env-max-len zijn toegevoegd aan het configuratiebestand firejail.config om de limieten voor het aantal en de grootte van commandoregelparameters en omgevingsvariabelen te wijzigen. Standaard is het aantal argumenten beperkt tot 128, het aantal omgevingsvariabelen tot 256, en de grootte van elk argument is PATH_MAX uit limits.h (in Linux 40196) + 32.\n
De optie '--xephyr-extra-params' is toegevoegd voor het instellen van extra opties voor Xephyr (wordt gebruikt voor het cre\u00ebren van sandbox-omgevingen X11 met een eigen X-server die in een venster draait) in de opdrachtregel zonder firejail.config te wijzigen.\n
De in de sandbox-omgeving ge\u00efnstalleerde tool bwrap (bubblewrap) is vervangen door de tussenlaag fbwrap, die programma's zonder isolatie uitvoert om problemen met het starten van Firefox, Thunderbird, GIMP als gevolg van de aanroep van glycin 2.0.0 uit gdk-pixbuf2 met behulp van bwrap op te lossen. Voor het kopi\u00ebren van bwrap is er een optie '-allow-bwrap' toegevoegd als alternatief voor de tussenlaag.\n
De system call-tabellen voor seccomp zijn bijgewerkt. Nieuwe systeemaanroepen zoals epoll_pwait2 en futex_wait zijn toegevoegd.\n
De bouwoptie '--disable-globalcfg' is verwijderd, ondersteuning voor overlayfs ('--overlay') en de IDS-modus (Intrusion Detection System, '--ids') is stopgezet.\n
Isolatieprofielen zijn toegevoegd voor de teksteditor ne (teksteditor), de browser Trivalent en de game-engines OpenRA, quakespasm, gzdoom, lzdoom, uzdoom.\n
Profielen zijn bijgewerkt voor thunderbird, wine, qutebrowser, firefox, godot, wusc, mullvad-browser, blink, steam, ssh, brave en hashcat. <\/ul>\n