Firejail

Firejail — это лёгкое средство безопасности, предназначенное для защиты Linux-системы путём создания ограниченного окружения для запуска (потенциально недоверенных) приложений.

Если точнее, это SUID-песочница, которая снижает риск нарушений безопасности за счёт использования пространств имён (namespaces) Linux, seccomp-bpf и возможностей (capabilities) Linux. Она позволяет процессу и всем его потомкам иметь собственное частное представление о глобально разделяемых ресурсах ядра, таких как сетевой стек, таблица процессов и таблица монтирования. Firejail может работать в окружении SELinux или AppArmor и интегрирован с контрольными группами Linux (Control Groups).

Написанный на C практически без зависимостей, этот программный продукт работает на любом Linux-компьютере с версией ядра 3.x или новее. Он может помещать в песочницу процессы любого типа: серверы, графические приложения и даже пользовательские сеансы входа в систему. Программа включает профили песочницы для ряда распространённых Linux-программ, таких как Mozilla Firefox, Chromium, VLC, Transmission и других.

Песочница лёгкая, накладные расходы невелики. Нет сложных конфигурационных файлов, которые нужно редактировать, нет открытых socket-соединений, нет работающих в фоне демонов. Все функции безопасности реализованы непосредственно в ядре Linux и доступны на любом Linux-компьютере.

Видео

Quick Start

Advanced Browser Security

Tor Browser Security

Ссылки

Веб-страница проекта: https://firejail.wordpress.com/
IRC: https://web.libera.chat/#firejail
Загрузка и установка: https://firejail.wordpress.com/download-2/
Возможности: https://firejail.wordpress.com/features-3/
Документация: https://firejail.wordpress.com/documentation-2/
FAQ: https://github.com/netblue30/firejail/wiki/Frequently-Asked-Questions
Вики: https://github.com/netblue30/firejail/wiki
GitHub Actions: https://github.com/netblue30/firejail/actions
GitLab CI: https://gitlab.com/Firejail/firejail_ci/pipelines
Debian CI: https://salsa.debian.org/reiner/firejail
Debian Package Tracker: https://tracker.debian.org/pkg/firejail
Ubuntu PPA: https://launchpad.net/~deki/+archive/ubuntu/firejail
Видеоканал: https://odysee.com/@netblue30:9?order=new
Резервный видеоканал: https://www.bitchute.com/profile/JSBsA1aoQVfW/

Уязвимости в безопасности

См. SECURITY.md.

Установка

Поддерживаемые версии см. в SECURITY.md.

Debian

Примечание: версии из Debian stable и backports, скорее всего, устарели, поэтому в настоящее время мы рекомендуем либо скачать и установить .deb-пакет из последнего релиза:

https://github.com/netblue30/firejail/releases/latest

Либо собрать из исходников.

Старые инструкции

Debian stable (bullseye): рекомендуем использовать пакет из backports.

Ubuntu

Примечание: версии из дистрибутива и PPA, скорее всего, устарели, поэтому в настоящее время мы рекомендуем либо скачать и установить .deb-пакет из последнего релиза:

https://github.com/netblue30/firejail/releases/latest

Либо собрать из исходников.

Старые инструкции

Примечание: рекомендация PPA относится в основном к самому firejail; устанавливать firetools и связанные с firejail инструменты непосредственно из дистрибутива вполне допустимо, если их нет в PPA, поскольку они обновляются реже.

Для Ubuntu 18.04+ и производных (таких как Linux Mint) пользователям настоятельно рекомендуется использовать PPA.

Как добавить PPA и установить из него:

sudo add-apt-repository ppa:deki/firejail
sudo apt-get update
sudo apt-get install firejail firejail-profiles

Причина: пакет firejail для Ubuntu 20.04 оставался уязвимым к CVE-2021-26910 в течение нескольких месяцев после того, как патч для него был опубликован на Launchpad:

См. также https://wiki.ubuntu.com/SecurityTeam/FAQ:

Какое программное обеспечение поддерживается командой безопасности Ubuntu?

Ubuntu в настоящее время разделена на четыре компонента: main, restricted, universe и multiverse. Все бинарные пакеты в main и restricted поддерживаются командой безопасности Ubuntu в течение всего срока поддержки релиза Ubuntu, тогда как бинарные пакеты в universe и multiverse поддерживаются сообществом Ubuntu.

Кроме того, версия из PPA, скорее всего, более свежая и содержит больше исправлений профилей.

Подробности см. в следующих обсуждениях:

Прочие

Firejail доступен во многих дистрибутивах Linux:

Repology

За исключением вышеупомянутых исключений, если ваш дистрибутив предоставляет поддерживаемую версию firejail, в целом лучше устанавливать его из дистрибутива.

firejail

Популярное