ਫਾਇਰਜੇਲ 0.9.60 ਐਪਲੀਕੇਸ਼ਨ ਆਈਸੋਲੇਸ਼ਨ ਰੀਲੀਜ਼

ਰੋਸ਼ਨੀ ਦੇਖੀ ਪ੍ਰੋਜੈਕਟ ਰੀਲੀਜ਼ ਫਾਇਰਜੇਲ 0.9.60, ਜਿਸ ਦੇ ਅੰਦਰ ਗ੍ਰਾਫਿਕਲ, ਕੰਸੋਲ ਅਤੇ ਸਰਵਰ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੇ ਅਲੱਗ-ਥਲੱਗ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਲਈ ਇੱਕ ਸਿਸਟਮ ਵਿਕਸਿਤ ਕੀਤਾ ਜਾ ਰਿਹਾ ਹੈ। ਫਾਇਰਜੇਲ ਦੀ ਵਰਤੋਂ ਕਰਨਾ ਤੁਹਾਨੂੰ ਅਵਿਸ਼ਵਾਸਯੋਗ ਜਾਂ ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਕਮਜ਼ੋਰ ਪ੍ਰੋਗਰਾਮਾਂ ਨੂੰ ਚਲਾਉਣ ਵੇਲੇ ਮੁੱਖ ਸਿਸਟਮ ਨਾਲ ਸਮਝੌਤਾ ਕਰਨ ਦੇ ਜੋਖਮ ਨੂੰ ਘੱਟ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ। ਪ੍ਰੋਗਰਾਮ C ਭਾਸ਼ਾ ਵਿੱਚ ਲਿਖਿਆ ਗਿਆ ਹੈ, ਦੁਆਰਾ ਵੰਡਿਆ GPLv2 ਅਧੀਨ ਲਾਇਸੰਸਸ਼ੁਦਾ ਹੈ ਅਤੇ 3.0 ਤੋਂ ਪੁਰਾਣੇ ਕਰਨਲ ਨਾਲ ਕਿਸੇ ਵੀ ਲੀਨਕਸ ਡਿਸਟਰੀਬਿਊਸ਼ਨ 'ਤੇ ਚੱਲ ਸਕਦਾ ਹੈ। ਫਾਇਰਜੇਲ ਦੇ ਨਾਲ ਤਿਆਰ ਪੈਕੇਜ ਤਿਆਰ deb (Debian, Ubuntu) ਅਤੇ rpm (CentOS, Fedora) ਫਾਰਮੈਟਾਂ ਵਿੱਚ।

ਫਾਇਰਜੇਲ ਵਿੱਚ ਆਈਸੋਲੇਸ਼ਨ ਲਈ ਵਰਤੇ ਜਾਂਦੇ ਹਨ ਲੀਨਕਸ ਵਿੱਚ ਨੇਮਸਪੇਸ, ਐਪਆਰਮਰ, ਅਤੇ ਸਿਸਟਮ ਕਾਲ ਫਿਲਟਰਿੰਗ (seccomp-bpf)। ਇੱਕ ਵਾਰ ਲਾਂਚ ਹੋਣ ਤੋਂ ਬਾਅਦ, ਪ੍ਰੋਗਰਾਮ ਅਤੇ ਇਸ ਦੀਆਂ ਸਾਰੀਆਂ ਚਾਈਲਡ ਪ੍ਰਕਿਰਿਆਵਾਂ ਕਰਨਲ ਸਰੋਤਾਂ ਦੇ ਵੱਖਰੇ ਦ੍ਰਿਸ਼ਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੀਆਂ ਹਨ, ਜਿਵੇਂ ਕਿ ਨੈੱਟਵਰਕ ਸਟੈਕ, ਪ੍ਰਕਿਰਿਆ ਟੇਬਲ, ਅਤੇ ਮਾਊਂਟ ਪੁਆਇੰਟ। ਇੱਕ ਦੂਜੇ 'ਤੇ ਨਿਰਭਰ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਇੱਕ ਆਮ ਸੈਂਡਬੌਕਸ ਵਿੱਚ ਜੋੜਿਆ ਜਾ ਸਕਦਾ ਹੈ। ਜੇਕਰ ਲੋੜੀਦਾ ਹੋਵੇ, ਤਾਂ ਫਾਇਰਜੇਲ ਦੀ ਵਰਤੋਂ ਡੌਕਰ, ਐਲਐਕਸਸੀ ਅਤੇ ਓਪਨਵੀਜ਼ੈਡ ਕੰਟੇਨਰਾਂ ਨੂੰ ਚਲਾਉਣ ਲਈ ਵੀ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ।

ਕੰਟੇਨਰ ਇਨਸੂਲੇਸ਼ਨ ਟੂਲਸ ਦੇ ਉਲਟ, ਫਾਇਰਜੇਲ ਬਹੁਤ ਜ਼ਿਆਦਾ ਹੈ ਆਸਾਨ ਸੰਰਚਨਾ ਵਿੱਚ ਹੈ ਅਤੇ ਇੱਕ ਸਿਸਟਮ ਚਿੱਤਰ ਦੀ ਤਿਆਰੀ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ - ਮੌਜੂਦਾ ਫਾਈਲ ਸਿਸਟਮ ਦੀ ਸਮੱਗਰੀ ਦੇ ਅਧਾਰ ਤੇ ਕੰਟੇਨਰ ਦੀ ਰਚਨਾ ਕੀਤੀ ਜਾਂਦੀ ਹੈ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਦੇ ਪੂਰਾ ਹੋਣ ਤੋਂ ਬਾਅਦ ਮਿਟਾ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ। ਫਾਈਲ ਸਿਸਟਮ ਲਈ ਐਕਸੈਸ ਨਿਯਮਾਂ ਨੂੰ ਸੈੱਟ ਕਰਨ ਦੇ ਲਚਕਦਾਰ ਸਾਧਨ ਪ੍ਰਦਾਨ ਕੀਤੇ ਗਏ ਹਨ; ਤੁਸੀਂ ਇਹ ਨਿਰਧਾਰਤ ਕਰ ਸਕਦੇ ਹੋ ਕਿ ਕਿਹੜੀਆਂ ਫਾਈਲਾਂ ਅਤੇ ਡਾਇਰੈਕਟਰੀਆਂ ਨੂੰ ਐਕਸੈਸ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਹੈ ਜਾਂ ਅਸਵੀਕਾਰ ਕੀਤਾ ਗਿਆ ਹੈ, ਡੇਟਾ ਲਈ ਅਸਥਾਈ ਫਾਈਲ ਸਿਸਟਮ (tmpfs) ਨੂੰ ਕਨੈਕਟ ਕਰ ਸਕਦੇ ਹੋ, ਫਾਈਲਾਂ ਜਾਂ ਡਾਇਰੈਕਟਰੀਆਂ ਤੱਕ ਪਹੁੰਚ ਨੂੰ ਸੀਮਿਤ ਕਰ ਸਕਦੇ ਹੋ, ਸਿਰਫ ਪੜ੍ਹਨ ਲਈ ਡਾਇਰੈਕਟਰੀਆਂ ਨੂੰ ਜੋੜ ਸਕਦੇ ਹੋ। bind-mount ਅਤੇ overlayfs.

ਫਾਇਰਫਾਕਸ, ਕ੍ਰੋਮਿਅਮ, ਵੀਐਲਸੀ ਅਤੇ ਟ੍ਰਾਂਸਮਿਸ਼ਨ ਸਮੇਤ ਵੱਡੀ ਗਿਣਤੀ ਵਿੱਚ ਪ੍ਰਸਿੱਧ ਐਪਲੀਕੇਸ਼ਨਾਂ ਲਈ, ਤਿਆਰ-ਬਣਾਇਆ ਪ੍ਰੋਫਾਈਲਾਂ ਸਿਸਟਮ ਕਾਲ ਆਈਸੋਲੇਸ਼ਨ। ਆਈਸੋਲੇਸ਼ਨ ਮੋਡ ਵਿੱਚ ਇੱਕ ਪ੍ਰੋਗਰਾਮ ਨੂੰ ਚਲਾਉਣ ਲਈ, ਫਾਇਰਜੇਲ ਉਪਯੋਗਤਾ ਲਈ ਇੱਕ ਦਲੀਲ ਦੇ ਤੌਰ 'ਤੇ ਐਪਲੀਕੇਸ਼ਨ ਦਾ ਨਾਮ ਦਿਓ, ਉਦਾਹਰਨ ਲਈ, "ਫਾਇਰਜੇਲ ਫਾਇਰਫਾਕਸ" ਜਾਂ "sudo firejail /etc/init.d/nginx start"।

ਨਵੀਂ ਰੀਲੀਜ਼ ਵਿੱਚ:

• ਇੱਕ ਕਮਜ਼ੋਰੀ ਜੋ ਇੱਕ ਖਤਰਨਾਕ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਸਿਸਟਮ ਕਾਲ ਪਾਬੰਦੀ ਵਿਧੀ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੀ ਹੈ, ਨੂੰ ਹੱਲ ਕੀਤਾ ਗਿਆ ਹੈ। ਕਮਜ਼ੋਰੀ ਦਾ ਸਾਰ ਇਹ ਹੈ ਕਿ Seccomp ਫਿਲਟਰ /run/firejail/mnt ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਨਕਲ ਕੀਤੇ ਜਾਂਦੇ ਹਨ, ਜੋ ਕਿ ਅਲੱਗ-ਥਲੱਗ ਵਾਤਾਵਰਣ ਵਿੱਚ ਲਿਖਣਯੋਗ ਹੈ। ਆਈਸੋਲੇਸ਼ਨ ਮੋਡ ਵਿੱਚ ਚੱਲ ਰਹੀਆਂ ਖਤਰਨਾਕ ਪ੍ਰਕਿਰਿਆਵਾਂ ਇਹਨਾਂ ਫਾਈਲਾਂ ਨੂੰ ਸੰਸ਼ੋਧਿਤ ਕਰ ਸਕਦੀਆਂ ਹਨ, ਜਿਸ ਨਾਲ ਸਿਸਟਮ ਕਾਲ ਫਿਲਟਰ ਨੂੰ ਲਾਗੂ ਕੀਤੇ ਬਿਨਾਂ ਉਸੇ ਵਾਤਾਵਰਣ ਵਿੱਚ ਚੱਲ ਰਹੀਆਂ ਨਵੀਆਂ ਪ੍ਰਕਿਰਿਆਵਾਂ ਨੂੰ ਲਾਗੂ ਕੀਤਾ ਜਾਵੇਗਾ;
• ਮੈਮੋਰੀ-ਇਨਕਾਰ-ਰਾਈਟ-ਐਕਜ਼ੀਕਿਊਟ ਫਿਲਟਰ ਇਹ ਯਕੀਨੀ ਬਣਾਉਂਦਾ ਹੈ ਕਿ "memfd_create" ਕਾਲ ਬਲੌਕ ਹੈ;
• ਜੇਲ੍ਹ ਲਈ ਕਾਰਜਕਾਰੀ ਡਾਇਰੈਕਟਰੀ ਨੂੰ ਬਦਲਣ ਲਈ ਨਵਾਂ ਵਿਕਲਪ "private-cwd" ਜੋੜਿਆ ਗਿਆ;
• ਡੀ-ਬੱਸ ਸਾਕਟਾਂ ਨੂੰ ਬਲਾਕ ਕਰਨ ਲਈ "--nodbus" ਵਿਕਲਪ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ;
• CentOS 6 ਲਈ ਸਮਰਥਨ ਵਾਪਸ ਕੀਤਾ;
• ਬੰਦ ਕਰ ਦਿੱਤਾ ਫਾਰਮੈਟਾਂ ਵਿੱਚ ਪੈਕੇਜਾਂ ਲਈ ਸਮਰਥਨ flatpak и ਚੁਟਕੀ.
  ਨਿਰਧਾਰਿਤਕਿ ਇਹਨਾਂ ਪੈਕੇਜਾਂ ਨੂੰ ਆਪਣੀ ਖੁਦ ਦੀ ਟੂਲਿੰਗ ਦੀ ਵਰਤੋਂ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ;

• ਮਾਈਪੇਂਟ, ਨੈਨੋ, xfce87-ਮਿਕਸਰ, ਗਨੋਮ-ਕੀਰਿੰਗ, ਰੈੱਡਸ਼ਿਫਟ, ਫੌਂਟ-ਮੈਨੇਜਰ, gconf-ਐਡੀਟਰ, gsettings, freeciv, lincity-ng, openttd, torcs, tremulous, warsow, ਸਮੇਤ 4 ਵਾਧੂ ਪ੍ਰੋਗਰਾਮਾਂ ਨੂੰ ਅਲੱਗ ਕਰਨ ਲਈ ਨਵੇਂ ਪ੍ਰੋਫਾਈਲ ਸ਼ਾਮਲ ਕੀਤੇ ਗਏ ਹਨ। freemind, kid3, freecol, opencity, utox, freeoffice-Planmaker, freeoffice-presentations, freeoffice-textmaker, inkview, meteo-qt, ktouch, yelp ਅਤੇ cantata।

ਸਰੋਤ: opennet.ru