Firejail

Firejail — это легковесный инструмент безопасности, предназначенный для защиты системы Linux путём создания ограниченной среды для запуска (потенциально недоверенных) приложений.

Более конкретно, это SUID-программа песочницы, которая снижает риск нарушений безопасности за счёт использования пространств имён Linux, seccomp-bpf и возможностей Linux (capabilities). Она позволяет процессу и всем его потомкам иметь собственное приватное представление о глобально разделяемых ресурсах ядра, таких как сетевой стек, таблица процессов и таблица монтирования. Firejail может работать в среде SELinux или AppArmor и интегрирован с контрольными группами Linux (cgroups).

Написанное на C практически без зависимостей, программное обеспечение работает на любом компьютере с Linux с версией ядра 3.x или новее. Оно может помещать в песочницу любой тип процессов: серверы, графические приложения и даже сеансы входа пользователей. Программное обеспечение включает профили песочницы для ряда наиболее распространённых программ Linux, таких как Mozilla Firefox, Chromium, VLC, Transmission и т. д.

Песочница легковесна, накладные расходы низкие. Нет сложных файлов конфигурации, которые нужно редактировать, нет открытых сокетных соединений, нет демонов, работающих в фоновом режиме. Все функции безопасности реализованы непосредственно в ядре Linux и доступны на любом компьютере с Linux.

Видео

Быстрый старт

Расширенная безопасность браузера

Безопасность Tor Browser

Ссылки

Веб-страница проекта: https://firejail.wordpress.com/
IRC: https://web.libera.chat/#firejail
Загрузка и установка: https://firejail.wordpress.com/download-2/
Возможности: https://firejail.wordpress.com/features-3/
Документация: https://firejail.wordpress.com/documentation-2/
FAQ: https://github.com/netblue30/firejail/wiki/Frequently-Asked-Questions
Wiki: https://github.com/netblue30/firejail/wiki
GitHub Actions: https://github.com/netblue30/firejail/actions
GitLab CI: https://gitlab.com/Firejail/firejail_ci/pipelines
Debian CI: https://salsa.debian.org/reiner/firejail
Debian Package Tracker: https://tracker.debian.org/pkg/firejail
Ubuntu PPA: https://launchpad.net/~deki/+archive/ubuntu/firejail
Видеоканал: https://odysee.com/@netblue30:9?order=new
Резервный видеоканал: https://www.bitchute.com/profile/JSBsA1aoQVfW/

Уязвимости безопасности

См. SECURITY.md.

Установка

Поддерживаемые версии см. в SECURITY.md.

Debian

Примечание: версии из Debian stable и backports, вероятно, устарели, поэтому в настоящее время мы рекомендуем либо скачать и установить пакет .deb из последнего релиза:

https://github.com/netblue30/firejail/releases/latest

Либо собрать из исходного кода.

Старые инструкции

Debian stable (bullseye): Мы рекомендуем использовать пакет backports.

Ubuntu

Примечание: версии из дистрибутива и PPA, вероятно, устарели, поэтому в настоящее время мы рекомендуем либо скачать и установить пакет .deb из последнего релиза:

https://github.com/netblue30/firejail/releases/latest

Либо собрать из исходного кода.

Старые инструкции

Примечание: рекомендация использовать PPA относится главным образом к самому firejail; вполне допустимо устанавливать firetools и связанные с firejail инструменты напрямую из дистрибутива, если их нет в PPA, поскольку они, как правило, обновляются реже.

Для Ubuntu 18.04+ и производных (таких как Linux Mint) пользователям настоятельно рекомендуется использовать PPA.

Как добавить и установить из PPA:

sudo add-apt-repository ppa:deki/firejail
sudo apt-get update
sudo apt-get install firejail firejail-profiles

Причина: пакет firejail для Ubuntu 20.04 оставался уязвимым к CVE-2021-26910 в течение нескольких месяцев после того, как патч для него был опубликован на Launchpad:

См. также https://wiki.ubuntu.com/SecurityTeam/FAQ:

Какое программное обеспечение поддерживается командой безопасности Ubuntu?

В настоящее время Ubuntu разделена на четыре компонента: main, restricted, universe и multiverse. Все бинарные пакеты в main и restricted поддерживаются командой безопасности Ubuntu в течение всего срока поддержки выпуска Ubuntu, тогда как бинарные пакеты в universe и multiverse поддерживаются сообществом Ubuntu.

Кроме того, версия из PPA, вероятно, более свежая и содержит больше исправлений профилей.

Подробности см. в следующих обсуждениях:

Прочее

Firejail доступен в нескольких дистрибутивах Linux:

Repology

firejail

Популярное