netblue30/firejailLinux namespaces e sandbox seccomp-bpf
Firejail è uno strumento di sicurezza leggero pensato per proteggere un sistema Linux configurando un ambiente ristretto per l'esecuzione di applicazioni (potenzialmente non attendibili).
Più precisamente, è un programma sandbox SUID che riduce il rischio di violazioni della sicurezza utilizzando i namespace di Linux, seccomp-bpf e le capability di Linux. Consente a un processo e a tutti i suoi discendenti di avere una propria vista privata delle risorse del kernel condivise globalmente, come lo stack di rete, la tabella dei processi e la tabella dei mount. Firejail può funzionare in un ambiente SELinux o AppArmor ed è integrato con i Control Groups di Linux.
Scritto in C praticamente senza dipendenze, il software funziona su qualsiasi computer Linux con kernel versione 3.x o superiore. Può isolare in sandbox qualsiasi tipo di processo: server, applicazioni grafiche e persino sessioni di login utente. Il software include profili sandbox per numerosi programmi Linux più comuni, come Mozilla Firefox, Chromium, VLC, Transmission ecc.
La sandbox è leggera, l'overhead è basso. Non ci sono file di configurazione complicati da modificare, nessuna connessione socket aperta, nessun daemon in esecuzione in background. Tutte le funzionalità di sicurezza sono implementate direttamente nel kernel Linux e disponibili su qualsiasi computer Linux.
Quick Start |
Advanced Browser Security |
Tor Browser Security |
Vedi SECURITY.md.
Per le versioni supportate, vedi SECURITY.md.
Nota: le versioni di Debian stable e backports sono probabilmente obsolete, quindi al momento consigliamo di scaricare e installare il pacchetto .deb dall'ultima release:
Oppure di compilare dai sorgenti.
Debian stable (bullseye): consigliamo di usare il pacchetto backports.
Nota: le versioni della distribuzione e del PPA sono probabilmente obsolete, quindi al momento consigliamo di scaricare e installare il pacchetto .deb dall'ultima release:
Oppure di compilare dai sorgenti.
Nota: la raccomandazione del PPA riguarda principalmente firejail stesso; non dovrebbero esserci problemi a installare firetools e gli strumenti correlati a firejail direttamente dalla distribuzione se non sono presenti nel PPA, dato che tendono a essere aggiornati meno frequentemente.
Per Ubuntu 18.04+ e derivate (come Linux Mint), agli utenti è caldamente consigliato usare il PPA.
Come aggiungere e installare dal PPA:
sudo add-apt-repository ppa:deki/firejail
sudo apt-get update
sudo apt-get install firejail firejail-profiles
Motivo: il pacchetto firejail per Ubuntu 20.04 è rimasto vulnerabile a CVE-2021-26910 per mesi dopo la pubblicazione di una patch su Launchpad:
Vedi anche https://wiki.ubuntu.com/SecurityTeam/FAQ:
What software is supported by the Ubuntu Security team?
Ubuntu is currently divided into four components: main, restricted, universe and multiverse. All binary packages in main and restricted are supported by the Ubuntu Security team for the life of an Ubuntu release, while binary packages in universe and multiverse are supported by the Ubuntu community.
Inoltre, la versione del PPA è probabilmente più recente e contiene più correzioni ai profili.
Vedi le seguenti discussioni per i dettagli:
Firejail è disponibile in molteplici distribuzioni Linux:
