netblue30/firejailNamespaces Linux et sandbox seccomp-bpf
Firejail est un outil de sécurité léger conçu pour protéger un système Linux en mettant en place un environnement restreint pour exécuter des applications (potentiellement non fiables).
Plus précisément, il s'agit d'un programme de bac à sable SUID qui réduit le risque de failles de sécurité en utilisant les namespaces Linux, seccomp-bpf et les capabilities Linux. Il permet à un processus et à tous ses descendants de disposer de leur propre vue privée des ressources du noyau partagées globalement, telles que la pile réseau, la table des processus et la table de montage. Firejail peut fonctionner dans un environnement SELinux ou AppArmor, et il est intégré aux Control Groups Linux.
Écrit en C avec pratiquement aucune dépendance, le logiciel fonctionne sur n'importe quel ordinateur Linux avec une version de noyau 3.x ou plus récente. Il peut isoler tout type de processus : serveurs, applications graphiques, et même les sessions de connexion utilisateur. Le logiciel inclut des profils de bac à sable pour un certain nombre de programmes Linux plus courants, tels que Mozilla Firefox, Chromium, VLC, Transmission, etc.
Le bac à sable est léger, la surcharge est faible. Il n'y a pas de fichiers de configuration compliqués à modifier, pas de connexions socket ouvertes, pas de démons s'exécutant en arrière-plan. Toutes les fonctionnalités de sécurité sont implémentées directement dans le noyau Linux et disponibles sur n'importe quel ordinateur Linux.
Démarrage rapide |
Sécurité avancée du navigateur |
Sécurité du navigateur Tor |
Voir SECURITY.md.
Pour les versions prises en charge, voir SECURITY.md.
Remarque : les versions de Debian stable et backports sont probablement obsolètes, c'est pourquoi nous recommandons actuellement soit de télécharger et d'installer le paquet .deb de la dernière version :
Soit de compiler depuis les sources.
Debian stable (bullseye) : nous recommandons d'utiliser le paquet backports.
Remarque : les versions de la distribution et du PPA sont probablement obsolètes, c'est pourquoi nous recommandons actuellement soit de télécharger et d'installer le paquet .deb de la dernière version :
Soit de compiler depuis les sources.
Remarque : la recommandation du PPA concerne principalement firejail lui-même ; il devrait être acceptable d'installer firetools et les outils liés à firejail directement depuis la distribution s'ils ne sont pas dans le PPA, car ils ont tendance à être mis à jour moins fréquemment.
Pour Ubuntu 18.04+ et ses dérivés (comme Linux Mint), il est fortement conseillé aux utilisateurs d'utiliser le PPA.
Comment ajouter et installer depuis le PPA :
sudo add-apt-repository ppa:deki/firejail
sudo apt-get update
sudo apt-get install firejail firejail-profiles
Raison : le paquet firejail pour Ubuntu 20.04 est resté vulnérable à CVE-2021-26910 pendant des mois après la publication d'un correctif sur Launchpad :
Voir aussi https://wiki.ubuntu.com/SecurityTeam/FAQ :
Quels logiciels sont pris en charge par l'équipe de sécurité d'Ubuntu ?
Ubuntu est actuellement divisé en quatre composants : main, restricted, universe et multiverse. Tous les paquets binaires de main et restricted sont pris en charge par l'équipe de sécurité d'Ubuntu pendant toute la durée de vie d'une version d'Ubuntu, tandis que les paquets binaires de universe et multiverse sont pris en charge par la communauté Ubuntu.
De plus, la version du PPA est probablement plus récente et contient davantage de correctifs de profils.
Voir les discussions suivantes pour plus de détails :
Firejail is available in multiple Linux distributions: