netblue30/firejailLinux-Namespaces und seccomp-bpf-Sandbox
Firejail ist ein leichtgewichtiges Sicherheitswerkzeug, das ein Linux-System schützen soll, indem es eine eingeschränkte Umgebung für die Ausführung (potenziell nicht vertrauenswürdiger) Anwendungen einrichtet.
Genauer gesagt handelt es sich um ein SUID-Sandbox-Programm, das das Risiko von Sicherheitsverletzungen durch die Verwendung von Linux-Namespaces, seccomp-bpf und Linux-Capabilities reduziert. Es ermöglicht einem Prozess und allen seinen Nachkommen, eine eigene private Sicht auf die global gemeinsam genutzten Kernel-Ressourcen zu haben, wie etwa den Netzwerk-Stack, die Prozesstabelle und die Mount-Tabelle. Firejail kann in einer SELinux- oder AppArmor-Umgebung arbeiten und ist in Linux Control Groups integriert.
In C geschrieben und praktisch ohne Abhängigkeiten, läuft die Software auf jedem Linux-Computer mit Kernel-Version 3.x oder neuer. Sie kann jede Art von Prozessen in einer Sandbox ausführen: Server, grafische Anwendungen und sogar Benutzer-Anmeldesitzungen. Die Software enthält Sandbox-Profile für eine Reihe gängigerer Linux-Programme wie Mozilla Firefox, Chromium, VLC, Transmission usw.
Die Sandbox ist leichtgewichtig, der Overhead ist gering. Es gibt keine komplizierten Konfigurationsdateien zu bearbeiten, keine offenen Socket-Verbindungen, keine im Hintergrund laufenden Daemons. Alle Sicherheitsfunktionen sind direkt im Linux-Kernel implementiert und auf jedem Linux-Computer verfügbar.
Quick Start |
Advanced Browser Security |
Tor Browser Security |
Siehe SECURITY.md.
Die unterstützten Versionen finden Sie in SECURITY.md.
Hinweis: Die Versionen aus Debian stable und backports sind wahrscheinlich veraltet, daher empfehlen wir derzeit entweder das Herunterladen und Installieren des .deb-Pakets aus der neuesten Veröffentlichung:
Oder aus dem Quellcode zu bauen.
Debian stable (bullseye): Wir empfehlen die Verwendung des backports-Pakets.
Hinweis: Die Versionen aus der Distribution und dem PPA sind wahrscheinlich veraltet, daher empfehlen wir derzeit entweder das Herunterladen und Installieren des .deb-Pakets aus der neuesten Veröffentlichung:
Oder aus dem Quellcode zu bauen.
Hinweis: Die PPA-Empfehlung gilt hauptsächlich für firejail selbst; es sollte in Ordnung sein, firetools und firejail-bezogene Werkzeuge direkt aus der Distribution zu installieren, wenn sie nicht im PPA sind, da sie tendenziell seltener aktualisiert werden.
Für Ubuntu 18.04+ und Derivate (wie Linux Mint) wird den Benutzern dringend empfohlen, das PPA zu verwenden.
So fügen Sie das PPA hinzu und installieren daraus:
sudo add-apt-repository ppa:deki/firejail
sudo apt-get update
sudo apt-get install firejail firejail-profiles
Grund: Das firejail-Paket für Ubuntu 20.04 blieb monatelang anfällig für CVE-2021-26910, nachdem ein Patch dafür auf Launchpad veröffentlicht wurde:
Siehe auch https://wiki.ubuntu.com/SecurityTeam/FAQ:
What software is supported by the Ubuntu Security team?
Ubuntu is currently divided into four components: main, restricted, universe and multiverse. All binary packages in main and restricted are supported by the Ubuntu Security team for the life of an Ubuntu release, while binary packages in universe and multiverse are supported by the Ubuntu community.
Darüber hinaus ist die PPA-Version wahrscheinlich aktueller und enthält mehr Profilkorrekturen.
Siehe die folgenden Diskussionen für Details:
Firejail ist in mehreren Linux-Distributionen verfügbar:
