netblue30/firejailSandbox com namespaces Linux e seccomp-bpf
O Firejail é uma ferramenta de segurança leve destinada a proteger um sistema Linux, configurando um ambiente restrito para executar aplicações (potencialmente não confiáveis).
Mais especificamente, é um programa de sandbox SUID que reduz o risco de violações de segurança usando namespaces do Linux, seccomp-bpf e capabilities do Linux. Ele permite que um processo e todos os seus descendentes tenham sua própria visão privada dos recursos do kernel compartilhados globalmente, como a pilha de rede, a tabela de processos e a tabela de montagem. O Firejail pode funcionar em um ambiente SELinux ou AppArmor, e é integrado com os Control Groups do Linux.
Escrito em C com praticamente nenhuma dependência, o software roda em qualquer computador Linux com versão de kernel 3.x ou mais recente. Ele pode colocar em sandbox qualquer tipo de processo: servidores, aplicações gráficas e até sessões de login de usuário. O software inclui perfis de sandbox para vários programas Linux mais comuns, como Mozilla Firefox, Chromium, VLC, Transmission etc.
A sandbox é leve, a sobrecarga é baixa. Não há arquivos de configuração complicados para editar, nenhuma conexão de socket aberta, nenhum daemon rodando em segundo plano. Todos os recursos de segurança são implementados diretamente no kernel do Linux e disponíveis em qualquer computador Linux.
Início Rápido |
Segurança Avançada do Navegador |
Segurança do Navegador Tor |
Consulte SECURITY.md.
Para as versões suportadas, consulte SECURITY.md.
Nota: As versões do Debian stable e backports provavelmente estão desatualizadas, portanto atualmente recomendamos baixar e instalar o pacote .deb da versão mais recente:
Ou compilar a partir do código-fonte.
Debian stable (bullseye): Recomendamos usar o pacote backports.
Nota: As versões da distribuição e do PPA provavelmente estão desatualizadas, portanto atualmente recomendamos baixar e instalar o pacote .deb da versão mais recente:
Ou compilar a partir do código-fonte.
Nota: A recomendação do PPA é principalmente para o próprio firejail; não há problema em instalar firetools e ferramentas relacionadas ao firejail diretamente da distribuição caso não estejam no PPA, pois elas tendem a ser atualizadas com menos frequência.
Para Ubuntu 18.04+ e derivados (como Linux Mint), os usuários são fortemente aconselhados a usar o PPA.
Como adicionar e instalar a partir do PPA:
sudo add-apt-repository ppa:deki/firejail
sudo apt-get update
sudo apt-get install firejail firejail-profiles
Motivo: O pacote firejail para Ubuntu 20.04 ficou vulnerável a CVE-2021-26910 por meses após um patch para ele ter sido publicado no Launchpad:
Veja também https://wiki.ubuntu.com/SecurityTeam/FAQ:
Quais softwares são suportados pela equipe de Segurança do Ubuntu?
O Ubuntu está atualmente dividido em quatro componentes: main, restricted, universe e multiverse. Todos os pacotes binários em main e restricted são suportados pela equipe de Segurança do Ubuntu durante toda a vida de uma versão do Ubuntu, enquanto os pacotes binários em universe e multiverse são suportados pela comunidade do Ubuntu.
Além disso, é provável que a versão do PPA seja mais recente e contenha mais correções de perfis.
Veja as discussões a seguir para mais detalhes:
O Firejail está disponível em várias distribuições Linux:
