{"id":54610,"date":"2019-12-30T00:00:00","date_gmt":"2019-12-29T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/vypusk-sistemy-izolyatsii-prilozhenij-firejail-0-9-62"},"modified":"2020-02-18T14:02:39","modified_gmt":"2020-02-18T11:02:39","slug":"vypusk-sistemy-izolyatsii-prilozhenij-firejail-0-9-62","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/vypusk-sistemy-izolyatsii-prilozhenij-firejail-0-9-62","title":{"rendered":"Wydanie systemu izolacji aplikacji Firejail 0.9.62","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Po sze\u015bciu miesi\u0105cach rozwoju dost\u0119pne<\/a><\/noindex> premiera projektu Firejail 0.9.62<\/a><\/noindex>, w ramach kt\u00f3rego rozwijany jest system do izolowanego uruchamiania aplikacji graficznych, konsolowych i serwerowych. U\u017cycie Firejail pozwala zminimalizowa\u0107 ryzyko kompromitacji g\u0142\u00f3wnego systemu podczas uruchamiania niegodnych zaufania lub potencjalnie podatnych program\u00f3w. Program napisany jest w j\u0119zyku C, rozpowszechniany<\/a><\/noindex> na licencji GPLv2 i mo\u017ce dzia\u0142a\u0107 w dowolnej dystrybucji Linuxa z j\u0105drem powy\u017cej 3.0. Gotowe pakiety z Firejail przygotowano<\/a><\/noindex> w formatach deb (Debian, Ubuntu) i rpm (CentOS, Fedora).<\/p>\n

Do izolacji w Firejail u\u017cywane s\u0105<\/a><\/noindex> przestrzenie nazw (namespaces), AppArmor oraz filtrowanie wywo\u0142a\u0144 systemowych (seccomp-bpf) w Linuxie. Po uruchomieniu program i wszystkie jego procesy podrz\u0119dne korzystaj\u0105 z odr\u0119bnych widok\u00f3w zasob\u00f3w j\u0105dra, takich jak stos sieciowy, tabela proces\u00f3w i punkty montowania. Aplikacje, kt\u00f3re s\u0105 od siebie zale\u017cne, mo\u017cna \u0142\u0105czy\u0107 w jeden wsp\u00f3lny sandbox. Je\u015bli zajdzie potrzeba, Firejail mo\u017cna stosowa\u0107 r\u00f3wnie\u017c do uruchamiania kontener\u00f3w Docker, LXC i OpenVZ. <\/p>\n

W przeciwie\u0144stwie do narz\u0119dzi do izolacji kontener\u00f3w, firejail jest skrajnie prostym<\/a><\/noindex> w konfiguracji i nie wymaga przygotowywania obrazu systemowego \u2014 sk\u0142ad kontenera tworzy si\u0119 na bie\u017c\u0105co na podstawie zawarto\u015bci aktualnego systemu plik\u00f3w i jest usuwany po zako\u0144czeniu pracy aplikacji. Oferowane s\u0105 elastyczne narz\u0119dzia do okre\u015blania zasad dost\u0119pu do systemu plik\u00f3w, mo\u017cna definiowa\u0107, do kt\u00f3rych plik\u00f3w i katalog\u00f3w dost\u0119p jest dozwolony lub zabroniony, pod\u0142\u0105cza\u0107 dla danych tymczasowe systemy plik\u00f3w (tmpfs), ogranicza\u0107 dost\u0119p do plik\u00f3w lub katalog\u00f3w tylko do odczytu, a tak\u017ce \u0142\u0105czy\u0107 katalogi przez bind-mount i overlayfs.<\/p>\n

Dla du\u017cej liczby popularnych aplikacji, w tym dla Firefox, Chromium, VLC i Transmission, przygotowano gotowe profile<\/a><\/noindex> izolacji wywo\u0142a\u0144 systemowych. Aby uzyska\u0107 uprawnienia niezb\u0119dne do skonfigurowania izolowanego \u015brodowiska, plik wykonywalny firejail jest ustawiany z flag\u0105 SUID root (po inicjalizacji uprawnienia s\u0105 zerowane). Aby uruchomi\u0107 program w trybie izolacji, wystarczy poda\u0107 nazw\u0119 aplikacji jako argument narz\u0119dzia firejail, na przyk\u0142ad \u201efirejail firefox\u201d lub \u201esudo firejail \/etc\/init.d\/nginx start\u201d. <\/p>\n

W nowym wydaniu:<\/p>\n