Bol release projektu Firejail 0.9.72, ktorý vyvíja systém na izolované spúšťanie grafických, konzolových a serverových aplikácií, čo umožňuje minimalizovať riziko kompromitácie hlavného systému pri spúšťaní nedôveryhodných alebo potenciálne zraniteľných programov. Program je napísaný v jazyku C, distribuuje sa pod licenciou GPLv2 a môže fungovať v akomkoľvek distribúte Linuxu s jadrom starším ako 3.0. Hotové balíčky s Firejail sú pripravené vo formátoch deb (Debian, Ubuntu) a rpm (CentOS, Fedora).
Na izoláciu vo Firejail sa používajú menné priestory (namespaces), AppArmor a filtrácia systémových volaní (seccomp-bpf) v Linuxe. Po spustení program a všetky jej dcérske procesy používajú oddelené pohľady na zdroje jadra, ako sú sieťový zásobník, tabuľka procesov a body pripojenia. Závislé aplikácie môžu byť zlúčené do jedného spoločného sandboxu. Ak si želáte, Firejail sa dá použiť aj na spúšťanie kontajnerov Docker, LXC a OpenVZ.
Na rozdiel od prostriedkov kontajnerovej izolácie je firejail mimoriadne jednoduchý na konfiguráciu a nevyžaduje prípravu systémového obrazu — zloženie kontajnera sa formuje naživo na základe obsahu aktuálneho FS a odstráni sa po skončení práce aplikácie. Poskytujú sa flexibilné prostriedky na stanovenie pravidiel prístupu k súborovému systému, môžete určiť, ku ktorým súborom a adresárom je povolený alebo zakázaný prístup, pripojiť pre dáta dočasné FS (tmpfs), obmedziť prístup k súborom alebo adresárom len na čítanie, kombinovať adresáre prostredníctvom bind-mount a overlayfs.
Pre veľké množstvo populárnych aplikácií, vrátane Firefoxu, Chromu, VLC a Transmission, sú pripravené hotové profily na izoláciu systémových volaní. Na získanie privilégií potrebných pre nastavenie izolovaného prostredia je spustiteľný súbor firejail nastavený s príznakom SUID root (po inicializácii sa privilégiá resetujú). Na vykonanie programu v režime izolácie stačí uviesť názov aplikácie ako argument utilitárneho firejail, napríklad „firejail firefox“ alebo „sudo firejail /etc/init.d/nginx start“.
V novom vydaní:
- Bol pridaný seccomp-filter systémových volaní, ktorý blokuje vytváranie menných priestorov (na jeho aktiváciu bola pridaná možnosť „—restrict-namespaces“). Aktualizované tabuľky systémových volaní a skupiny seccomp.
- Vylepšený režim force-nonewprivs (NO_NEW_PRIVS), ktorý zabraňuje získaniu ďalších privilégií v nových procesoch.
- Pridala sa možnosť používania vlastných profilov AppArmor (pre pripojenie je ponúknutá možnosť „—apparmor“).
- V systéme sledovania sieťovej prevádzky nettrace, ktorý zobrazuje informácie o IP a intenzite prevádzky z každého adresy, bola implementovaná podpora ICMP a ponúknuté možnosti „—dnstrace“, „—icmptrace“ a „—snitrace“.
- Odstránené príkazy —cgroup a —shell (štandardne sa používa —shell=none). Štandardne sa zastavila zostava firetunnel. Vypnuté nastavenia chroot, private-lib a tracelog v /etc/firejail/firejail.config. Ukončená podpora grsecurity.
Zdroj: opennet.ru
