Издање Фирејаил Апплицатион Исолатион Систем 0.9.72

Објављен је Firejail 0.9.72. Развија систем за изоловано извршавање графичких, конзолних и серверских апликација, минимизирајући ризик од угрожавања хост система приликом покретања непоузданих или потенцијално рањивих програма. Програм је написан у C језику, дистрибуиран под GPLv2 лиценцом и ради на било којој дистрибуцији. Linux са кернелом старијим од 3.0. Готови пакети са Firejail-ом су припремљени у deb форматима (Debian, Ubuntu) и обртаји у минути (CentOS, Федора).

Firejail користи именске просторе, AppArmor и филтрирање системских позива (seccomp-bpf) за изолацију. LinuxЈедном покренут, програм и сви његови подпроцеси користе одвојене репрезентације ресурса језгра, као што су мрежни стек, табела процеса и тачке монтирања. Међусобно зависне апликације могу се комбиновати у један дељени sandbox. Firejail се такође може користити за покретање Docker, LXC и OpenVZ контејнера.

За разлику од алата за изолацију контејнера, фирејаил је изузетно једноставан за конфигурисање и не захтева припрему слике система – састав контејнера се формира у ходу на основу садржаја тренутног система датотека и брише се након што се апликација заврши. Обезбеђена су флексибилна средства за постављање правила приступа систему датотека, можете одредити којим датотекама и директоријумима је дозвољен или одбијен приступ, повезати привремене системе датотека (тмпфс) за податке, ограничити приступ датотекама или директоријумима само за читање, комбиновати директоријуме преко; бинд-моунт и оверлаифс.

За велики број популарних апликација, укључујући Фирефок, Цхромиум, ВЛЦ и Трансмиссион, припремљени су готови профили за изолацију системских позива. Да би се добиле привилегије неопходне за подешавање окружења у заштићеном окружењу, извршни фајл фирејаил се инсталира са СУИД роот заставицом (привилегије се ресетују након иницијализације). Да бисте покренули програм у режиму изолације, једноставно наведите име апликације као аргумент услужном програму фирејаил, на пример, „фирејаил фирефок“ или „судо фирејаил /етц/инит.д/нгинк старт“.

У новом издању:

• Додан је сеццомп филтер за системске позиве који блокира креирање именских простора (додата је опција „--рестрицт-намеспацес“ да би се омогућила). Ажуриране табеле системских позива и сеццомп групе.
• Побољшан режим принудног приступа (НО_НЕВ_ПРИВС), који спречава нове процесе да добију додатне привилегије.
• Додата је могућност коришћења сопствених АппАрмор профила (опција „--аппармор“ је понуђена за повезивање).
• Неттраце систем за праћење мрежног саобраћаја, који приказује информације о ИП-у и интензитету саобраћаја са сваке адресе, имплементира ИЦМП подршку и нуди опције "--днстраце", "--ицмптраце" и "--снитраце".
• Команде --цгроуп и --схелл су уклоњене (подразумевана вредност је --схелл=ноне). Изградња Фиретуннела је подразумевано заустављена. Онемогућене поставке цхроот, привате-либ и трацелог у /етц/фирејаил/фирејаил.цонфиг. подршка за грсецурити је прекинута.

Извор: опеннет.ру