netblue30/firejailLinux-Namespaces und seccomp-bpf-Sandbox
Firejail ist ein leichtgewichtiges Sicherheitswerkzeug, das ein Linux-System schützen soll, indem es eine eingeschränkte Umgebung für die Ausführung (potenziell nicht vertrauenswürdiger) Anwendungen einrichtet.
Genauer gesagt handelt es sich um ein SUID-Sandbox-Programm, das das Risiko von Sicherheitsverletzungen durch die Nutzung von Linux-Namespaces, seccomp-bpf und Linux-Capabilities reduziert. Es ermöglicht einem Prozess und allen seinen Nachkommen, eine eigene private Sicht auf die global gemeinsam genutzten Kernel-Ressourcen zu haben, wie etwa den Netzwerk-Stack, die Prozesstabelle und die Mount-Tabelle. Firejail kann in einer SELinux- oder AppArmor-Umgebung arbeiten und ist in Linux Control Groups integriert.
Die Software ist in C geschrieben und hat praktisch keine Abhängigkeiten; sie läuft auf jedem Linux-Computer mit Kernel-Version 3.x oder neuer. Sie kann jede Art von Prozessen in eine Sandbox einschließen: Server, grafische Anwendungen und sogar Benutzer-Anmeldesitzungen. Die Software enthält Sandbox-Profile für eine Reihe gängigerer Linux-Programme wie Mozilla Firefox, Chromium, VLC, Transmission usw.
Die Sandbox ist leichtgewichtig, der Overhead ist gering. Es gibt keine komplizierten Konfigurationsdateien zu bearbeiten, keine offenen Socket-Verbindungen, keine im Hintergrund laufenden Daemons. Alle Sicherheitsfunktionen sind direkt im Linux-Kernel implementiert und auf jedem Linux-Computer verfügbar.
Schnellstart |
Erweiterte Browser-Sicherheit |
Tor-Browser-Sicherheit |
Siehe SECURITY.md.
Die unterstützten Versionen finden Sie in SECURITY.md.
Hinweis: Die Versionen aus Debian stable und backports sind wahrscheinlich veraltet, daher empfehlen wir derzeit entweder das Herunterladen und Installieren des .deb-Pakets aus dem neuesten Release:
Oder den Build aus dem Quellcode.
Debian stable (bullseye): Wir empfehlen die Verwendung des backports-Pakets.
Hinweis: Die Versionen aus der Distribution und dem PPA sind wahrscheinlich veraltet, daher empfehlen wir derzeit entweder das Herunterladen und Installieren des .deb-Pakets aus dem neuesten Release:
Oder den Build aus dem Quellcode.
Hinweis: Die PPA-Empfehlung gilt hauptsächlich für firejail selbst; es sollte in Ordnung sein, firetools und firejail-bezogene Tools direkt aus der Distribution zu installieren, wenn sie nicht im PPA enthalten sind, da sie tendenziell seltener aktualisiert werden.
Für Ubuntu 18.04+ und Derivate (wie Linux Mint) wird den Nutzern dringend empfohlen, das PPA zu verwenden.
So fügen Sie das PPA hinzu und installieren daraus:
sudo add-apt-repository ppa:deki/firejail
sudo apt-get update
sudo apt-get install firejail firejail-profiles
Grund: Das firejail-Paket für Ubuntu 20.04 ist seit Monaten für CVE-2021-26910 anfällig, nachdem ein Patch dafür auf Launchpad veröffentlicht wurde:
Siehe auch https://wiki.ubuntu.com/SecurityTeam/FAQ:
Welche Software wird vom Ubuntu-Sicherheitsteam unterstützt?
Ubuntu ist derzeit in vier Komponenten unterteilt: main, restricted, universe und multiverse. Alle Binärpakete in main und restricted werden vom Ubuntu-Sicherheitsteam für die Lebensdauer einer Ubuntu-Version unterstützt, während Binärpakete in universe und multiverse von der Ubuntu-Community unterstützt werden.
Darüber hinaus ist die PPA-Version wahrscheinlich neuer und enthält mehr Profilkorrekturen.
Siehe die folgenden Diskussionen für Details:
Firejail ist in mehreren Linux-Distributionen verfügbar:
