ਫਾਇਰਜੇਲ 0.9.72 ਐਪਲੀਕੇਸ਼ਨ ਆਈਸੋਲੇਸ਼ਨ ਰੀਲੀਜ਼

ਫਾਇਰਜੇਲ 0.9.72 ਪ੍ਰੋਜੈਕਟ ਦੀ ਰੀਲੀਜ਼ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤੀ ਗਈ ਹੈ, ਜੋ ਗ੍ਰਾਫਿਕਲ, ਕੰਸੋਲ ਅਤੇ ਸਰਵਰ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੇ ਅਲੱਗ-ਥਲੱਗ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਲਈ ਇੱਕ ਸਿਸਟਮ ਵਿਕਸਿਤ ਕਰਦਾ ਹੈ, ਜੋ ਕਿ ਅਵਿਸ਼ਵਾਸਯੋਗ ਜਾਂ ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਕਮਜ਼ੋਰ ਪ੍ਰੋਗਰਾਮਾਂ ਨੂੰ ਚਲਾਉਣ ਵੇਲੇ ਮੁੱਖ ਸਿਸਟਮ ਨਾਲ ਸਮਝੌਤਾ ਕਰਨ ਦੇ ਜੋਖਮ ਨੂੰ ਘੱਟ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ। ਪ੍ਰੋਗਰਾਮ C ਵਿੱਚ ਲਿਖਿਆ ਗਿਆ ਹੈ, GPLv2 ਲਾਇਸੰਸ ਦੇ ਅਧੀਨ ਵੰਡਿਆ ਗਿਆ ਹੈ ਅਤੇ 3.0 ਤੋਂ ਪੁਰਾਣੇ ਕਰਨਲ ਦੇ ਨਾਲ ਕਿਸੇ ਵੀ Linux ਡਿਸਟਰੀਬਿਊਸ਼ਨ 'ਤੇ ਚੱਲ ਸਕਦਾ ਹੈ। ਫਾਇਰਜੇਲ ਦੇ ਨਾਲ ਤਿਆਰ ਪੈਕੇਜ deb (Debian, Ubuntu) ਅਤੇ rpm (CentOS, Fedora) ਫਾਰਮੈਟਾਂ ਵਿੱਚ ਤਿਆਰ ਕੀਤੇ ਜਾਂਦੇ ਹਨ।

ਆਈਸੋਲੇਸ਼ਨ ਲਈ, ਫਾਇਰਜੇਲ ਲੀਨਕਸ ਵਿੱਚ ਨੇਮਸਪੇਸ (ਨੇਮਸਪੇਸ), ਐਪਆਰਮਰ ਅਤੇ ਸਿਸਟਮ ਕਾਲ ਫਿਲਟਰਿੰਗ (seccomp-bpf) ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ। ਇੱਕ ਵਾਰ ਸ਼ੁਰੂ ਹੋਣ ਤੋਂ ਬਾਅਦ, ਪ੍ਰੋਗਰਾਮ ਅਤੇ ਇਸ ਦੀਆਂ ਸਾਰੀਆਂ ਚਾਈਲਡ ਪ੍ਰਕਿਰਿਆਵਾਂ ਕਰਨਲ ਸਰੋਤਾਂ ਜਿਵੇਂ ਕਿ ਨੈੱਟਵਰਕ ਸਟੈਕ, ਪ੍ਰੋਸੈਸ ਟੇਬਲ, ਅਤੇ ਮਾਊਂਟ ਪੁਆਇੰਟਾਂ ਦੇ ਵੱਖਰੇ ਪ੍ਰਸਤੁਤੀਆਂ ਦੀ ਵਰਤੋਂ ਕਰਦੀਆਂ ਹਨ। ਇੱਕ ਦੂਜੇ 'ਤੇ ਨਿਰਭਰ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਇੱਕ ਆਮ ਸੈਂਡਬੌਕਸ ਵਿੱਚ ਜੋੜਿਆ ਜਾ ਸਕਦਾ ਹੈ। ਜੇਕਰ ਲੋੜੀਦਾ ਹੋਵੇ, ਤਾਂ ਫਾਇਰਜੇਲ ਦੀ ਵਰਤੋਂ ਡੌਕਰ, ਐਲਐਕਸਸੀ ਅਤੇ ਓਪਨਵੀਜ਼ੈਡ ਕੰਟੇਨਰਾਂ ਨੂੰ ਚਲਾਉਣ ਲਈ ਵੀ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ।

ਕੰਟੇਨਰ ਆਈਸੋਲੇਸ਼ਨ ਟੂਲਸ ਦੇ ਉਲਟ, ਫਾਇਰਜੇਲ ਕੌਂਫਿਗਰ ਕਰਨ ਲਈ ਬਹੁਤ ਸਰਲ ਹੈ ਅਤੇ ਇਸ ਨੂੰ ਸਿਸਟਮ ਚਿੱਤਰ ਤਿਆਰ ਕਰਨ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ - ਕੰਟੇਨਰ ਦੀ ਰਚਨਾ ਮੌਜੂਦਾ ਫਾਈਲ ਸਿਸਟਮ ਦੀ ਸਮਗਰੀ ਦੇ ਅਧਾਰ ਤੇ ਫਲਾਈ 'ਤੇ ਬਣਾਈ ਜਾਂਦੀ ਹੈ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਖਤਮ ਹੋਣ ਤੋਂ ਬਾਅਦ ਮਿਟਾ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ। ਫਾਈਲ ਸਿਸਟਮ ਐਕਸੈਸ ਨਿਯਮਾਂ ਨੂੰ ਸੈੱਟ ਕਰਨ ਲਈ ਲਚਕਦਾਰ ਟੂਲ ਪ੍ਰਦਾਨ ਕੀਤੇ ਗਏ ਹਨ, ਤੁਸੀਂ ਇਹ ਨਿਰਧਾਰਤ ਕਰ ਸਕਦੇ ਹੋ ਕਿ ਕਿਹੜੀਆਂ ਫਾਈਲਾਂ ਅਤੇ ਡਾਇਰੈਕਟਰੀਆਂ ਨੂੰ ਐਕਸੈਸ ਦੀ ਇਜਾਜ਼ਤ ਹੈ ਜਾਂ ਅਸਵੀਕਾਰ ਕੀਤਾ ਗਿਆ ਹੈ, ਡੇਟਾ ਲਈ ਅਸਥਾਈ ਫਾਈਲ ਸਿਸਟਮ (tmpfs) ਨੂੰ ਕਨੈਕਟ ਕਰੋ, ਸਿਰਫ ਪੜ੍ਹਨ ਲਈ ਫਾਈਲਾਂ ਜਾਂ ਡਾਇਰੈਕਟਰੀਆਂ ਤੱਕ ਪਹੁੰਚ ਨੂੰ ਸੀਮਤ ਕਰੋ, ਬਾਇੰਡ-ਮਾਊਂਟ ਦੁਆਰਾ ਡਾਇਰੈਕਟਰੀਆਂ ਨੂੰ ਜੋੜੋ। ਅਤੇ ਓਵਰਲੇਅਫਸ।

ਫਾਇਰਫਾਕਸ, ਕ੍ਰੋਮਿਅਮ, ਵੀਐਲਸੀ, ਅਤੇ ਟ੍ਰਾਂਸਮਿਸ਼ਨ ਸਮੇਤ ਵੱਡੀ ਗਿਣਤੀ ਵਿੱਚ ਪ੍ਰਸਿੱਧ ਐਪਲੀਕੇਸ਼ਨਾਂ ਕੋਲ ਪਹਿਲਾਂ ਤੋਂ ਸੰਰਚਿਤ ਸਿਸਟਮ ਕਾਲ ਆਈਸੋਲੇਸ਼ਨ ਪ੍ਰੋਫਾਈਲ ਹਨ। ਸੈਂਡਬੌਕਸ ਵਾਤਾਵਰਣ ਨੂੰ ਸਥਾਪਤ ਕਰਨ ਲਈ ਲੋੜੀਂਦੇ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਨੂੰ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ, ਫਾਇਰਜੇਲ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਨੂੰ SUID ਰੂਟ ਫਲੈਗ ਨਾਲ ਸਥਾਪਿਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ (ਸ਼ੁਰੂਆਤ ਹੋਣ ਤੋਂ ਬਾਅਦ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਨੂੰ ਰੀਸੈਟ ਕੀਤਾ ਜਾਂਦਾ ਹੈ)। ਆਈਸੋਲੇਸ਼ਨ ਮੋਡ ਵਿੱਚ ਇੱਕ ਪ੍ਰੋਗਰਾਮ ਨੂੰ ਚਲਾਉਣ ਲਈ, ਫਾਇਰਜੇਲ ਉਪਯੋਗਤਾ ਲਈ ਇੱਕ ਦਲੀਲ ਵਜੋਂ ਐਪਲੀਕੇਸ਼ਨ ਦਾ ਨਾਮ ਨਿਰਧਾਰਤ ਕਰਨਾ ਕਾਫ਼ੀ ਹੈ, ਉਦਾਹਰਨ ਲਈ, "ਫਾਇਰਜੇਲ ਫਾਇਰਫਾਕਸ" ਜਾਂ "ਸੁਡੋ ਫਾਇਰਜੇਲ /etc/init.d/nginx start"।

ਨਵੀਂ ਰੀਲੀਜ਼ ਵਿੱਚ:

• ਨੇਮਸਪੇਸ ਰਚਨਾਵਾਂ ਨੂੰ ਬਲੌਕ ਕਰਨ ਲਈ seccomp ਸਿਸਟਮ ਕਾਲ ਫਿਲਟਰ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ (ਯੋਗ ਕਰਨ ਲਈ "--restrict-namespaces" ਵਿਕਲਪ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ)। ਅੱਪਡੇਟ ਸਿਸਟਮ ਕਾਲ ਟੇਬਲ ਅਤੇ seccomp ਗਰੁੱਪ.
• ਨਵੀਆਂ ਪ੍ਰਕਿਰਿਆਵਾਂ ਨੂੰ ਵਾਧੂ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਪ੍ਰਾਪਤ ਕਰਨ ਤੋਂ ਰੋਕਣ ਲਈ ਸੁਧਾਰਿਆ ਫੋਰਸ-ਨਿਊਪ੍ਰਾਈਵ (NO_NEW_PRIVS) ਮੋਡ।
• ਤੁਹਾਡੇ ਆਪਣੇ ਐਪਆਰਮਰ ਪ੍ਰੋਫਾਈਲਾਂ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਯੋਗਤਾ ਸ਼ਾਮਲ ਕੀਤੀ ਗਈ ਹੈ (ਕਨੈਕਸ਼ਨ ਲਈ "--ਐਪਰਮੋਰ" ਵਿਕਲਪ ਪੇਸ਼ ਕੀਤਾ ਗਿਆ ਹੈ)।
• ਨੈਟਰੇਸ ਨੈੱਟਵਰਕ ਟ੍ਰੈਫਿਕ ਟ੍ਰੈਕਿੰਗ ਸਿਸਟਮ, ਜੋ ਹਰੇਕ ਪਤੇ ਤੋਂ IP ਅਤੇ ਟ੍ਰੈਫਿਕ ਤੀਬਰਤਾ ਬਾਰੇ ਜਾਣਕਾਰੀ ਪ੍ਰਦਰਸ਼ਿਤ ਕਰਦਾ ਹੈ, ICMP ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ ਅਤੇ "-dnstrace", "--icmptrace" ਅਤੇ "--snitrace" ਵਿਕਲਪ ਪੇਸ਼ ਕਰਦਾ ਹੈ।
• --cgroup ਅਤੇ --shell ਕਮਾਂਡਾਂ ਨੂੰ ਹਟਾਇਆ ਗਿਆ (ਡਿਫਾਲਟ --shell=none ਹੈ)। ਫਾਇਰਟੰਨਲ ਬਿਲਡ ਡਿਫੌਲਟ ਰੂਪ ਵਿੱਚ ਬੰਦ ਹੋ ਗਿਆ ਹੈ। /etc/firejail/firejail.config ਵਿੱਚ ਅਯੋਗ chroot, ਪ੍ਰਾਈਵੇਟ-ਲਿਬ ਅਤੇ ਟਰੇਸਲੌਗ ਸੈਟਿੰਗਾਂ। grsecurity ਲਈ ਸਮਰਥਨ ਹਟਾਇਆ ਗਿਆ।

ਸਰੋਤ: opennet.ru