Ursprung av applikationsisolationssystemet Firejail 0.9.78

Släpp av projektet Firejail 0.9.78 är publicerat, som utvecklar ett system för isolerad körning av grafiska, konsol- och serverapplikationer. Det minimerar risken för att den primära systemet komprometteras när man kör betrodda eller potentiellt sårbara program. Programmet är skrivet i C, är licenserat under GPLv2 och kan köras på vilken Linux-distribution som helst med en kärna äldre än 3.0. Klara paket med Firejail har förberetts i deb-format (Debian, Ubuntu) och rpm-format (CentOS, Fedora).

För isolering i Firejail används namnrymder (namespaces), AppArmor och systemanropsfiltrering (seccomp-bpf) i Linux. Efter start använder programmet och alla dess underprocesser separata vyer av kärnresurser, såsom nätverksstack, process-tabeller och monteringspunkter. Sammanlänkade applikationer kan förenas i en gemensam sandbox. Vid önskemål kan Firejail även användas för att köra Docker-, LXC- och OpenVZ-containrar.

Till skillnad från containerisolationsverktyg är Firejail extremt enkelt att konfigurera och kräver ingen förberedelse av systemavbildningen – behållarens innehåll skapas on-the-fly baserat på den aktuella filsystemet och tas bort efter att applikationen har avslutats. Flexibla verktyg för att ange åtkomsträttigheter till filsystemet tillhandahålls, vilket gör det möjligt att bestämma vilka filer och kataloger som har tillgång eller är förbjudna, ansluta temporära filsystem (tmpfs) för data, begränsa tillgången till filer eller kataloger till endast läsning, samt sammanfoga kataloger genom bind-mount och overlayfs.

Färdiga profiler för isolering av systemanrop har förberetts för ett stort antal populära applikationer, inklusive Firefox, Chromium, VLC och Transmission. För att få de privilegier som krävs för att konfigurera en isolerad miljö installeras körfilen firejail med SUID root-flaggan (efter initiering återställs privilegierna). För att köra programmet i isoleringsläge räcker det att ange applikationens namn som ett argument till firejail-verktyget, till exempel "firejail firefox" eller "sudo firejail /etc/init.d/nginx start".

I den nya utgåvan:

• I konfigurationsfilen firejail.config har alternativen arg-max-count, arg-max-len, env-max-count och env-max-len lagts till för att ändra gränserna för antalet och storleken på kommandoradsalternativ och miljövariabler. Som standard är antalet argument begränsat till 128, antalet miljövariabler till 256 och storleken på varje argument är PATH_MAX från limits.h (i Linux 40196) + 32.
• Alternativet "—xephyr-extra-params" har lagts till för att ange ytterligare alternativ till Xephyr (används för att skapa sandbox-miljöer för X11 med sin egen X-server som körs i ett fönster) i kommandoraden utan att ändra firejail.config.
• Det verktyg som installeras i sandbox-miljön, bwrap (bubblewrap), har ersatts med ett lager fbwrap som kör program utan isolering för att lösa problem med att köra Firefox, Thunderbird, GIMP på grund av anropet glycin 2.0.0 från gdk-pixbuf2 med användning av bwrap. För att kopiera bwrap istället för lagret har alternativet "—allow-bwrap" lagts till.
• Systemanropstabellerna för seccomp har uppdaterats. Nya systemanrop har lagts till, som epoll_pwait2 och futex_wait.
• Byggalternativet "—disable-globalcfg" har tagits bort, stöd för overlayfs ("—overlay") och IDS-läget (Intrusion Detection System, "—ids") har upphört.
• Isoleringsprofiler har lagts till för textredigeraren ne, webbläsaren Trivalent och spelmotorerna OpenRA, quakespasm, gzdoom, lzdoom, uzdoom.
• Profilerna för thunderbird, wine, qutebrowser, firefox, godot, wusc, mullvad-browser, blink, steam, ssh, brave och hashcat har uppdaterats.

Källa: opennet.ru