Foi publicado o lançamento do projeto Firejail 0.9.72, que desenvolve um sistema para a execução isolada de aplicativos gráficos, de console e de servidor, permitindo minimizar o risco de comprometimento do sistema principal ao executar programas não confiáveis ou potencialmente vulneráveis. O programa é escrito em C, distribuído sob a licença GPLv2 e pode funcionar em qualquer distribuição Linux com um núcleo superior a 3.0. Pacotes prontos do Firejail estão disponíveis nos formatos deb (Debian, Ubuntu) e rpm (CentOS, Fedora).
Para isolamento no Firejail, são utilizados espaços de nomes (namespaces), AppArmor e filtragem de chamadas de sistema (seccomp-bpf) no Linux. Após a execução, o programa e todos os seus processos-filhos utilizam visões separadas dos recursos do núcleo, como a pilha de rede, a tabela de processos e os pontos de montagem. Aplicativos interdependentes podem ser agrupados em um único sandbox. Se desejado, o Firejail também pode ser usado para executar contêineres Docker, LXC e OpenVZ.
Ao contrário das ferramentas de isolamento em contêineres, o firejail é extremamente simples de configurar e não requer a preparação de uma imagem do sistema — a composição do contêiner é formada dinamicamente com base no conteúdo do sistema de arquivos atual e é removida após a finalização do aplicativo. Eles oferecem ferramentas flexíveis para definir regras de acesso ao sistema de arquivos, permitindo especificar a quais arquivos e diretórios o acesso é permitido ou negado, conectar sistemas de arquivos temporários (tmpfs) para os dados, restringir o acesso a arquivos ou diretórios apenas para leitura, e combinar diretórios através de bind-mount e overlayfs.
Para um grande número de aplicativos populares, incluindo Firefox, Chromium, VLC e Transmission, perfis de isolamento de chamadas de sistema prontos foram preparados. Para obter os privilégios necessários para configurar o ambiente isolado, o arquivo executável firejail é instalado com a flag SUID root (após a inicialização, os privilégios são redefinidos). Para executar o programa em modo de isolamento, basta especificar o nome do aplicativo como argumento da utilidade firejail, por exemplo, 'firejail firefox' ou 'sudo firejail /etc/init.d/nginx start'.
No novo lançamento:
- Foi adicionado um filtro seccomp para chamadas de sistema, bloqueando a criação de espaços de nomes (uma nova opção "—restrict-namespaces" foi adicionada). As tabelas de chamadas de sistema e grupos seccomp foram atualizadas.
- O modo force-nonewprivs (NO_NEW_PRIVS) foi aprimorado, proibindo a obtenção de privilégios adicionais em novos processos.
- Adicionada a possibilidade de usar perfis próprios do AppArmor (a opção "—apparmor" foi sugerida para habilitação).
- No sistema de rastreamento de tráfego de rede nettrace, que exibe informações sobre IP e intensidade de tráfego de cada endereço, agora há suporte a ICMP e foram oferecidas as opções "—dnstrace", "—icmptrace" e "—snitrace".
- Os comandos —cgroup e —shell foram removidos (por padrão, é aplicado —shell=none). A compilação do firetunnel foi interrompida por padrão. As configurações de chroot, private-lib e tracelog em /etc/firejail/firejail.config foram desativadas. O suporte ao grsecurity foi encerrado.
Fonte: opennet.ru
