{"id":54610,"date":"2019-12-30T00:00:00","date_gmt":"2019-12-29T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/vypusk-sistemy-izolyatsii-prilozhenij-firejail-0-9-62"},"modified":"2020-02-18T14:02:39","modified_gmt":"2020-02-18T11:02:39","slug":"vypusk-sistemy-izolyatsii-prilozhenij-firejail-0-9-62","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/vypusk-sistemy-izolyatsii-prilozhenij-firejail-0-9-62","title":{"rendered":"Lan\u00e7amento do sistema de isolamento de aplicativos Firejail 0.9.62","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Ap\u00f3s seis meses de desenvolvimento dispon\u00edvel<\/a><\/noindex> lan\u00e7amento do projeto Firejail 0.9.62<\/a><\/noindex>, no qual se desenvolve um sistema para a execu\u00e7\u00e3o isolada de aplica\u00e7\u00f5es gr\u00e1ficas, de console e servidor. A utiliza\u00e7\u00e3o do Firejail minimiza o risco de comprometimento do sistema principal ao executar programas desconfi\u00e1veis ou potencialmente vulner\u00e1veis. O programa \u00e9 escrito em C, \u00e9 distribu\u00eddo<\/a><\/noindex> sob a licen\u00e7a GPLv2 e pode funcionar em qualquer distribui\u00e7\u00e3o Linux com n\u00facleo superior a 3.0. Pacotes prontos com o Firejail foram preparados<\/a><\/noindex> nos formatos deb (Debian, Ubuntu) e rpm (CentOS, Fedora).<\/p>\n

Para isolamento no Firejail s\u00e3o utilizados<\/a><\/noindex> namespaces, AppArmor e filtragem de chamadas de sistema (seccomp-bpf) no Linux. Ap\u00f3s a inicializa\u00e7\u00e3o, o programa e todos os seus processos filhos utilizam vis\u00f5es separadas dos recursos do kernel, como a pilha de rede, tabela de processos e pontos de montagem. Aplica\u00e7\u00f5es interdependentes podem ser agrupadas em um sandbox comum. Se desejado, o Firejail tamb\u00e9m pode ser usado para executar cont\u00eaineres Docker, LXC e OpenVZ. <\/p>\n

Ao contr\u00e1rio das ferramentas de isolamento de cont\u00eaineres, o firejail \u00e9 extremamente simples<\/a><\/noindex> na configura\u00e7\u00e3o e n\u00e3o requer a prepara\u00e7\u00e3o de uma imagem do sistema \u2014 a composi\u00e7\u00e3o do cont\u00eainer \u00e9 formada on-the-fly com base no conte\u00fado do sistema de arquivos atual e \u00e9 removida ap\u00f3s a conclus\u00e3o do aplicativo. S\u00e3o fornecidos meios flex\u00edveis para definir regras de acesso ao sistema de arquivos, podendo-se determinar a quais arquivos e diret\u00f3rios o acesso \u00e9 permitido ou negado, conectar sistemas de arquivos tempor\u00e1rios (tmpfs) para dados, restringir o acesso a arquivos ou diret\u00f3rios apenas para leitura, e combinar diret\u00f3rios usando bind-mount e overlayfs.<\/p>\n

Para um grande n\u00famero de aplica\u00e7\u00f5es populares, incluindo Firefox, Chromium, VLC e Transmission, perfis prontos foram preparados de isolamento de chamadas de sistema. Para executar um programa em modo isolado, basta indicar o nome da aplica\u00e7\u00e3o como argumento da ferramenta firejail, por exemplo, \"firejail firefox\" ou \"sudo firejail \/etc\/init.d\/nginx start.\"<\/a><\/noindex> isolamento de chamadas de sistema. Para obter as permiss\u00f5es necess\u00e1rias para configurar o ambiente isolado, o arquivo execut\u00e1vel firejail \u00e9 instalado com a flag SUID root (ap\u00f3s a inicializa\u00e7\u00e3o, as permiss\u00f5es s\u00e3o revertidas). Para executar um programa em modo de isolamento, basta especificar o nome do aplicativo como um argumento da ferramenta firejail, por exemplo, \u00abfirejail firefox\u00bb ou \u00absudo firejail \/etc\/init.d\/nginx start\u00bb. <\/p>\n

No novo lan\u00e7amento:<\/p>\n