netblue30/firejailNamespaces Linux et sandbox seccomp-bpf
Firejail est un outil de sécurité léger destiné à protéger un système Linux en mettant en place un environnement restreint pour exécuter des applications (potentiellement non fiables).
Plus précisément, il s'agit d'un programme de bac à sable SUID qui réduit le risque de failles de sécurité en utilisant les namespaces Linux, seccomp-bpf et les capacités Linux. Il permet à un processus et à tous ses descendants d'avoir leur propre vue privée des ressources du noyau partagées globalement, telles que la pile réseau, la table des processus et la table de montage. Firejail peut fonctionner dans un environnement SELinux ou AppArmor, et il est intégré aux Control Groups de Linux.
Écrit en C avec pratiquement aucune dépendance, le logiciel fonctionne sur n'importe quel ordinateur Linux avec un noyau de version 3.x ou plus récent. Il peut mettre en bac à sable tout type de processus : serveurs, applications graphiques, et même les sessions de connexion utilisateur. Le logiciel inclut des profils de bac à sable pour un certain nombre de programmes Linux plus courants, tels que Mozilla Firefox, Chromium, VLC, Transmission, etc.
Le bac à sable est léger, la surcharge est faible. Il n'y a pas de fichiers de configuration compliqués à éditer, pas de connexions socket ouvertes, pas de démons en arrière-plan. Toutes les fonctionnalités de sécurité sont implémentées directement dans le noyau Linux et disponibles sur n'importe quel ordinateur Linux.
Quick Start |
Advanced Browser Security |
Tor Browser Security |
Voir SECURITY.md.
Pour les versions prises en charge, voir SECURITY.md.
Remarque : les versions de Debian stable et backports sont probablement obsolètes, donc actuellement nous recommandons soit de télécharger et d'installer le paquet .deb de la dernière version :
Soit de compiler depuis les sources.
Debian stable (bullseye) : nous recommandons d'utiliser le paquet backports.
Remarque : les versions de la distribution et du PPA sont probablement obsolètes, donc actuellement nous recommandons soit de télécharger et d'installer le paquet .deb de la dernière version :
Soit de compiler depuis les sources.
Remarque : la recommandation du PPA concerne principalement firejail lui-même ; il devrait être acceptable d'installer firetools et les outils liés à firejail directement depuis la distribution s'ils ne sont pas dans le PPA, car ils ont tendance à être mis à jour moins fréquemment.
Pour Ubuntu 18.04+ et ses dérivés (tels que Linux Mint), les utilisateurs sont fortement invités à utiliser le PPA.
Comment ajouter et installer depuis le PPA :
sudo add-apt-repository ppa:deki/firejail
sudo apt-get update
sudo apt-get install firejail firejail-profiles
Raison : le paquet firejail pour Ubuntu 20.04 est resté vulnérable à CVE-2021-26910 pendant des mois après qu'un correctif a été publié sur Launchpad :
Voir aussi https://wiki.ubuntu.com/SecurityTeam/FAQ :
What software is supported by the Ubuntu Security team?
Ubuntu is currently divided into four components: main, restricted, universe and multiverse. All binary packages in main and restricted are supported by the Ubuntu Security team for the life of an Ubuntu release, while binary packages in universe and multiverse are supported by the Ubuntu community.
De plus, la version du PPA est susceptible d'être plus récente et de contenir davantage de correctifs de profils.
Voir les discussions suivantes pour plus de détails :
Firejail est disponible dans plusieurs distributions Linux :