netblue30/firejailLinux-Namespaces und seccomp-bpf-Sandbox
Firejail ist ein leichtgewichtiges Sicherheitswerkzeug, das dazu dient, ein Linux-System zu schützen, indem es eine eingeschränkte Umgebung für die Ausführung von (potenziell nicht vertrauenswürdigen) Anwendungen einrichtet.
Genauer gesagt handelt es sich um ein SUID-Sandbox-Programm, das das Risiko von Sicherheitsverletzungen durch die Verwendung von Linux-Namespaces, seccomp-bpf und Linux-Capabilities verringert. Es ermöglicht einem Prozess und allen seinen Nachkommen eine eigene private Sicht auf die global geteilten Kernel-Ressourcen, wie Netzwerk-Stack, Prozesstabelle und Mount-Tabelle. Firejail kann in einer SELinux- oder AppArmor-Umgebung arbeiten und ist in Linux Control Groups integriert.
In C geschrieben und praktisch ohne Abhängigkeiten, läuft die Software auf jedem Linux-Computer mit einer 3.x-Kernelversion oder neuer. Sie kann jede Art von Prozessen sandboxen: Server, grafische Anwendungen und sogar Benutzer-Login-Sitzungen. Die Software enthält Sandbox-Profile für eine Reihe gängigerer Linux-Programme wie Mozilla Firefox, Chromium, VLC, Transmission usw.
Die Sandbox ist leichtgewichtig, der Overhead ist gering. Es müssen keine komplizierten Konfigurationsdateien bearbeitet werden, keine Socket-Verbindungen sind offen, keine Daemons laufen im Hintergrund. Alle Sicherheitsfunktionen sind direkt im Linux-Kernel implementiert und auf jedem Linux-Computer verfügbar.
Siehe SECURITY.md.
Unterstützte Versionen finden Sie in SECURITY.md.
Hinweis: Die Versionen aus Debian stable und backports sind wahrscheinlich veraltet, daher empfehlen wir derzeit, das .deb-Paket aus der neuesten Version herunterzuladen und zu installieren:
Oder aus dem Quellcode erstellen.
Debian stable (bullseye): Wir empfehlen, das backports-Paket zu verwenden.
Hinweis: Die Versionen aus der Distribution und dem PPA sind wahrscheinlich veraltet, daher empfehlen wir derzeit, das .deb-Paket aus der neuesten Version herunterzuladen und zu installieren:
Oder aus dem Quellcode erstellen.
Hinweis: Die PPA-Empfehlung gilt hauptsächlich für Firejail selbst; es sollte in Ordnung sein, firetools und Firejail-bezogene Werkzeuge direkt aus der Distribution zu installieren, wenn sie nicht im PPA sind, da sie tendenziell seltener aktualisiert werden.
Für Ubuntu 18.04+ und Derivate (wie Linux Mint) wird Benutzern dringend empfohlen, das PPA zu verwenden.
So fügen Sie das PPA hinzu und installieren daraus:
sudo add-apt-repository ppa:deki/firejail
sudo apt-get update
sudo apt-get install firejail firejail-profiles
Grund: Das Firejail-Paket für Ubuntu 20.04 war monatelang anfällig für CVE-2021-26910, nachdem ein Patch dafür auf Launchpad veröffentlicht wurde:
Siehe auch https://wiki.ubuntu.com/SecurityTeam/FAQ:
Welche Software wird vom Ubuntu-Sicherheitsteam unterstützt?
Ubuntu ist derzeit in vier Komponenten unterteilt: main, restricted, universe und multiverse. Alle Binärpakete in main und restricted werden vom Ubuntu-Sicherheitsteam für die gesamte Lebensdauer einer Ubuntu-Version unterstützt, während Binärpakete in universe und multiverse von der Ubuntu-Community unterstützt werden.
Darüber hinaus ist die PPA-Version wahrscheinlich aktueller und enthält mehr Profilkorrekturen.
Einzelheiten finden Sie in den folgenden Diskussionen:
Firejail ist in mehreren Linux-Distributionen verfügbar:
Abgesehen von den zuvor genannten Ausnahmen ist es im Allgemeinen eine gute Idee, Firejail aus der Distribution zu installieren, solange Ihre Distribution eine unterstützte Version von Firejail bereitstellt.
Die Version kann nach der Installation mit firejail --version überprüft werden.
Sie können auch eines der veröffentlichten Pakete installieren.
Anweisungen zum Erstellen und Installieren der aktuellen Entwicklungsversion aus dem Quellcode.
Es wird empfohlen, die unten stehenden distributionsspezifischen Anweisungen zu verwenden, wenn sie zutreffen, da sie native Pakete erzeugen, was die Integration in den Rest des Systems und die Paketverwaltung erleichtern sollte.
Für andere Distributionen siehe die allgemeinen Anweisungen.
Siehe auch .gitlab-ci.yml für Informationen darüber, wie distributionsspezifische Builds in CI durchgeführt werden.
Hinweis: Das AUR-Paket wird nicht von uns gepflegt.
Installieren Sie firejail-git aus dem AUR.
Beispiel:
yay -S firejail-git
Für Debian, Ubuntu und Derivate:
Hinweis: Alle ./configure-Flags sollten an mkdeb.sh übergeben werden (z. B. ./mkdeb.sh --enable-foo).
sudo apt-get update -qy
sudo apt-get install -qy \
git build-essential fakeroot lintian libapparmor-dev pkg-config gawk
git clone 'https://github.com/netblue30/firejail.git' &&
cd firejail &&
./configure &&
make dist &&
./mkdeb.sh &&
sudo dpkg -i ./*.deb &&
make installcheck
Für Fedora und Derivate:
Hinweis: Alle ./configure-Flags sollten an mkrpm.sh übergeben werden (z. B. ./platform/rpm/mkrpm.sh --enable-foo).
sudo dnf update -y
sudo dnf install -y rpm-build gcc make
git clone 'https://github.com/netblue30/firejail.git' &&
cd firejail &&
./configure &&
make dist &&
./platform/rpm/mkrpm.sh &&
sudo rpm -i ./*.rpm &&
make installcheck
Allgemeine Build-/Installationsanweisungen:
git clone 'https://github.com/netblue30/firejail.git' &&
cd firejail &&
./configure &&
make -j "$(nproc)" &&
sudo make install-strip &&
make installcheck
Auf Debian/Ubuntu müssen Sie git und gcc installieren.
Um mit AppArmor-Unterstützung zu bauen (die normalerweise auf Debian, Ubuntu, openSUSE und Derivaten verwendet wird), installieren Sie die AppArmor-Entwicklungsbibliotheken und pkg-config und verwenden Sie die ./configure-Option --enable-apparmor:
sudo apt-get install git build-essential libapparmor-dev pkg-config gawk
Um mit SELinux-Unterstützung zu bauen (die normalerweise auf Fedora, RHEL und Derivaten verwendet wird), installieren Sie libselinux1-dev (libselinux-devel auf Fedora) und verwenden Sie die ./configure-Option --enable-selinux.
Detaillierte Informationen zur Verwendung von Firejail aus git finden Sie im Wiki.
Hinweis: Stellen Sie sicher, dass Sie den vollständigen Pfad zum Programm verwenden (z. B. firejail /usr/bin/firefox statt firejail firefox), um mögliche Firejail-in-Firejail-Probleme zu vermeiden (siehe #2877).
Um die Sandbox zu starten, stellen Sie Ihrem Befehl firejail voran:
firejail /usr/bin/firefox # starting Mozilla Firefox
firejail /usr/bin/transmission-gtk # starting Transmission BitTorrent
firejail /usr/bin/vlc # starting VideoLAN Client
sudo firejail /etc/init.d/nginx start
Führen Sie firejail --list in einem Terminal aus, um alle aktiven Sandboxes aufzulisten. Beispiel:
$ firejail --list
1617:netblue:/usr/bin/firejail /usr/bin/firefox-esr
7719:netblue:/usr/bin/firejail /usr/bin/transmission-qt
7779:netblue:/usr/bin/firejail /usr/bin/galculator
7874:netblue:/usr/bin/firejail /usr/bin/vlc --started-from-file file:///home/netblue/firejail-whitelist.mp4
7916:netblue:firejail --list
Integrieren Sie Ihre Sandbox in Ihren Desktop, indem Sie die folgenden zwei Befehle ausführen:
firecfg --fix-sound
sudo firecfg
Der erste Befehl behebt einige Shared-Memory-/PID-Namespace-Fehler in PulseAudio-Software vor Version 9. Der zweite Befehl integriert Firejail in Ihren Desktop. Sie müssen sich ab- und wieder anmelden, um die PulseAudio-Änderungen anzuwenden.
Starten Sie Ihre Programme so, wie Sie es gewohnt sind: über Desktop-Manager-Menüs, Dateimanager, Desktop-Starter.
Die Integration gilt für jedes Programm, das standardmäßig von Firejail unterstützt wird. Es gibt über 900 Standardanwendungen in der aktuellen Firejail-Version, und mit jeder neuen Version wird die Zahl größer.
Die Anwendungsliste führen wir in src/firecfg/firecfg.config (/etc/firejail/firecfg.config nach der Installation).
Die meisten Firejail-Kommandozeilenoptionen können der Sandbox über Profildateien übergeben werden.
Die Profile für alle unterstützten Anwendungen finden Sie in etc/ (/etc/firejail/ nach der Installation).
Wir führen auch eine Liste von Profilkorrekturen für frühere veröffentlichte Versionen in etc-fixes/.
Wenn Sie zusätzliche Firejail-Sicherheitsprofile in einem öffentlichen Repository pflegen, geben Sie uns bitte einen Link:
Verwenden Sie dieses Issue, um neue Profile anzufordern:
Sie können auch dieses Werkzeug verwenden, um eine Liste der von einem Programm benötigten Syscalls zu erhalten:
firecfg erstellt symbolische Links in /usr/local/bin. Um Firejail vollständig zu entfernen, führen Sie vor der Deinstallation Folgendes aus:
sudo firecfg --clean
Einzelheiten finden Sie unter man firecfg.
Hinweis: Defekte symbolische Links werden bei der Suche nach einer ausführbaren Datei in $PATH ignoriert, sodass eine Deinstallation ohne die obigen Schritte keine Probleme verursachen sollte.
LANDLOCK
Landlock is a Linux security module first introduced in version 5.13 of
the Linux kernel. It allows unprivileged processes to restrict their
access to the filesystem. Once imposed, these restrictions can never
be removed, and all child processes created by a Landlock-restricted
processes inherit these restrictions. Firejail supports Landlock as an
additional sandboxing feature. It can be used to ensure that a sand‐
boxed application can only access files and directories that it was ex‐
plicitly allowed to access. Firejail supports populating the ruleset
with both a basic set of rules (see --landlock) and with a custom set
of rules.
Important notes:
- A process can install a Landlock ruleset only if it has either
CAP_SYS_ADMIN in its effective capability set, or the "No New
Privileges" restriction enabled. Because of this, enabling the
Landlock feature will also cause Firejail to enable the "No New
Privileges" restriction, regardless of the profile or the
--nonewprivs command line option.
- Access to the /proc directory is managed through the --land‐
lock.proc command line option.
- Access to the /etc directory is automatically allowed. To
override this, use the --writable-etc command line option. You
can also use the --private-etc option to restrict access to the
/etc directory.
To enable Landlock self-restriction on top of your current Firejail se‐
curity features, pass --landlock flag to Firejail command line. You
can also use --landlock.read, --landlock.write, --landlock.special and
--landlock.execute options together with --landlock or instead of it.
Example:
$ firejail --landlock --landlock.read=/media --landlock.proc=ro /usr/bin/mc
Ein kleines Werkzeug zum Anzeigen von Profilstatistiken. Kompilieren und installieren Sie es wie gewohnt. Das Werkzeug wird im Verzeichnis /usr/lib/firejail installiert.
Führen Sie es über die Profile in /etc/profiles aus:
$ /usr/lib/firejail/profstats /etc/firejail/*.profile
No include .local found in /etc/firejail/noprofile.profile
Warning: multiple caps in /etc/firejail/tidal-hifi.profile
Warning: multiple caps in /etc/firejail/tqemu.profile
Warning: multiple caps in /etc/firejail/transmission-daemon.profile
Warning: multiple caps in /etc/firejail/trivalent.profile
Stats:
profiles 1342
include local profile 1341 (include profile-name.local)
include globals 1307 (include globals.local)
blacklist ~/.ssh 1201 (include disable-common.inc)
seccomp 1213
capabilities 1335
noexec 1214 (include disable-exec.inc)
noroot 1105
memory-deny-write-execute 320
restrict-namespaces 1048
apparmor 869
private-bin 817
private-dev 1172
private-etc 842
private-cache 865
private-lib 86
private-tmp 1036
whitelist home directory 662
whitelist var 975 (include whitelist-var-common.inc)
whitelist run/user 1305 (include whitelist-runuser-common.inc
or blacklist ${RUNUSER})
whitelist usr/share 760 (include whitelist-usr-share-common.inc
net none 452
dbus-user none 766
dbus-user filter 206
dbus-system none 970
dbus-system filter 13
Schnellstart |
Erweiterte Browser-Sicherheit |
Tor-Browser-Sicherheit |