{"id":34673,"date":"2019-10-31T21:59:45","date_gmt":"2019-10-31T18:59:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/vypusk-sistemy-izolyatsii-prilozhenij-firejail-0-9-60\/"},"modified":"2019-10-31T21:59:45","modified_gmt":"2019-10-31T18:59:45","slug":"vypusk-sistemy-izolyatsii-prilozhenij-firejail-0-9-60","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/vypusk-sistemy-izolyatsii-prilozhenij-firejail-0-9-60","title":{"rendered":"Wydanie systemu izolacji aplikacji Firejail 0.9.60","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Zobaczy\u0142 \u015bwiat\u0142o<\/a><\/noindex> premiera projektu Firejail 0.9.60<\/a><\/noindex>, w ramach kt\u00f3rego rozwijany jest system do izolowanego uruchamiania aplikacji graficznych, konsolowych i serwerowych. U\u017cycie Firejail pozwala zminimalizowa\u0107 ryzyko kompromitacji g\u0142\u00f3wnego systemu podczas uruchamiania niegodnych zaufania lub potencjalnie podatnych program\u00f3w. Program napisany jest w j\u0119zyku C, rozpowszechniany<\/a><\/noindex> na licencji GPLv2 i mo\u017ce dzia\u0142a\u0107 w dowolnej dystrybucji Linuxa z j\u0105drem powy\u017cej 3.0. Gotowe pakiety z Firejail przygotowano<\/a><\/noindex> w formatach deb (Debian, Ubuntu) i rpm (CentOS, Fedora).<\/p>\n

Do izolacji w Firejail u\u017cywane s\u0105<\/a><\/noindex> przestrzeni nazw (namespaces), AppArmor oraz filtrowanie wywo\u0142a\u0144 systemowych (seccomp-bpf) w systemie Linux. Po uruchomieniu program i wszystkie jego procesy podrz\u0119dne korzystaj\u0105 z oddzielnych widok\u00f3w zasob\u00f3w j\u0105dra, takich jak stos sieciowy, tabela proces\u00f3w i punkty montowania. Zale\u017cne od siebie aplikacje mo\u017cna \u0142\u0105czy\u0107 w jeden wsp\u00f3lny sandbox. W razie potrzeby Firejail mo\u017cna r\u00f3wnie\u017c stosowa\u0107 do uruchamiania kontener\u00f3w Docker, LXC i OpenVZ. <\/p>\n

W przeciwie\u0144stwie do narz\u0119dzi do izolacji kontener\u00f3w, firejail jest skrajnie prostym<\/a><\/noindex> w konfiguracji i nie wymaga przygotowania obrazu systemowego \u2014 sk\u0142adnik kontenera jest tworzony na bie\u017c\u0105co na podstawie zawarto\u015bci aktualnego systemu plik\u00f3w i usuwany po zako\u0144czeniu pracy aplikacji. Oferowane s\u0105 elastyczne narz\u0119dzia do definiowania regu\u0142 dost\u0119pu do systemu plik\u00f3w, mo\u017cna okre\u015bli\u0107, do kt\u00f3rych plik\u00f3w i katalog\u00f3w dost\u0119p jest dozwolony lub zabroniony, pod\u0142\u0105cza\u0107 tymczasowe systemy plik\u00f3w (tmpfs) dla danych, ogranicza\u0107 dost\u0119p do plik\u00f3w lub katalog\u00f3w tylko do odczytu, a tak\u017ce \u0142\u0105czy\u0107 katalogi przez bind-mount i overlayfs.<\/p>\n

Dla du\u017cej liczby popularnych aplikacji, w tym dla Firefox, Chromium, VLC i Transmission, przygotowano gotowe profile<\/a><\/noindex> izolacji wywo\u0142a\u0144 systemowych. Aby wykona\u0107 program w trybie izolacji, wystarczy poda\u0107 nazw\u0119 aplikacji jako argument narz\u0119dzia firejail, na przyk\u0142ad \u201efirejail firefox\u201d lub \u201esudo firejail \/etc\/init.d\/nginx start\u201d. <\/p>\n

W nowym wydaniu:<\/p>\n