Schützen Sie Ihr System. Führen Sie Ihren Browser in Firejail aus

Objektiv

Installieren Sie Firejail und verwenden Sie es, um Sandbox-Anwendungen wie Webbrowser zu erstellen, die mit dem offenen Internet interagieren.

Ausschüttungen

Dies funktioniert mit jeder aktuellen Linux-Distribution.

Anforderungen

Eine funktionierende Linux-Installation mit Root-Rechten.

Schwierigkeit

Leicht

Konventionen

• # – erfordert, dass bestimmte Linux-Befehle mit Root-Rechten ausgeführt werden, entweder direkt als Root-Benutzer oder mit dem Befehl sudo
• $ – erfordert, dass bestimmte Linux-Befehle als normaler, nicht privilegierter Benutzer ausgeführt werden

Einleitung

Die größte Bedrohung für Ihr Linux-System ist Ihr Webbrowser. Wenn man darüber nachdenkt, macht es absolut Sinn. Ein Browser ist eine große und komplexe Software mit der Fähigkeit, Code auszuführen, und sie greift auf das offene Internet zu und führt so ziemlich alles aus, mit dem sie in Berührung kommt.

Der beste Weg, dieses Problem zu lösen, besteht darin, Ihren Browser oder eine andere mit dem Internet verbundene Anwendung vom Rest Ihres Systems zu trennen. Auf diese Weise kann es nicht annähernd so viel Schaden anrichten, wenn es kompromittiert wird. Dafür ist Firejail da.

Firejail ist ein Sandboxing-Programm, das es Programmen ermöglicht, in einzelnen Sandboxen mit ihren eigenen Parametern zu laufen, wodurch ihr Kontakt mit dem Rest Ihres Systems eingeschränkt wird. Firejail ist einfach zu bedienen und in den Repositories fast aller großen Distributionen verfügbar, mit Ausnahme von Fedora und CentOS.

Firejail installieren

Debian/Ubuntu

sudo apt install firejail

Fedora/CentOS

Laden Sie die Firejail .rpm von der Sourceforge-Seite https://sourceforge.net/projects/firejail/files/firejail/ herunter und installieren Sie sie manuell.

rpm -i firejail_X.Y-Z.x86_64.rpm

OpenSUSE

zypper install firejail

Arch Linux

pacman -S firejail

Eselspinguin

emerge --ask firejail

Grundlegende Verwendung

Um eine Anwendung über Firejail auszuführen, müssen Sie dem Befehl nur das Präfix firejail voranstellen.

firejail firefox

Firefox wird wie gewohnt gestartet, aber in einer eigenen Sandbox.

Dies funktioniert mit praktisch jeder Anwendung, die Sie sich vorstellen können, einschließlich Befehlszeilenanwendungen.

firejail tar xpf somefile.tar.gz

Firejail wird so lange ausgeführt, wie die Anwendung ausgeführt wird. Selbst wenn Sie etwas verwenden, das eine Zeit lang geöffnet ist, müssen Sie sich keine Sorgen machen, dass Firejail stoppt und Ihre Anwendung unsicher ist. Wenn so etwas passiert, wird die Anwendung auch gestoppt.

Sie können Firejail auch zusammen mit grafikintensiven Programmen verwenden. Es wird sie nicht viel verlangsamen, wenn überhaupt.

firejail wine64 '~/.wine/drive_c/Program Files (x86)/World of Warcraft/Wow-64.exe'

Es gibt unzählige Funktionen, die über Flaggen in Firejail verfügbar sind. Die meisten von ihnen werden Sie wahrscheinlich nie verwenden, aber Sie können sie sicherlich auf der Manpage von Firejail nachlesen. Die hier beschriebenen Paare sind die häufigsten.

–seccomp

Das Flag --seccomp weist Firejail an, eine Reihe von Systemaufrufen herauszufiltern und zu blockieren. Es hat eine eigene Standardliste von Systemaufrufen, die standardmäßig blockiert werden, aber Sie können sie auch mit --seccomp=syscall,syscall angeben. Fügen Sie einfach --seccomp zu Ihrem regulären Firejail-Befehl hinzu, um es zu verwenden.

firejail --seccomp firefox

–privat

Das --private-Flag verhält sich ähnlich wie ein privates Fenster in einem Webbrowser. Es erstellt eine separate Sandbox im temporären Speicher und löscht sich selbst, nachdem Sie die Anwendung geschlossen haben.

firejail --private firefox

Natürlich können Sie sie auch aneinanderreihen.

firejail --seccomp --private firefox

Firejail-Profile

Firejail verfügt über unabhängige Konfigurationen für die meisten Programme, mit denen Sie es normalerweise ausführen. Sie werden als "Profile" bezeichnet. Diese Profile übergeben standardmäßig bestimmte Flags und Konfigurationsbits an Firejail, wenn das entsprechende Programm ausgeführt wird. Sie müssen nichts tun, damit Firejail seine Standardprofile verwendet.

Wenn Sie die Profile ändern oder eigene erstellen möchten, können Sie sie in Ihr lokales Verzeichnis unter ~/.config/firejail/ kopieren.

Firejail standardmäßig

Es gibt einige Möglichkeiten, Firejail standardmäßig mit einem Programm auszuführen. Am einfachsten ist es wahrscheinlich, die Launcher der Programme zu ändern, mit denen Sie Firejail verwenden möchten. Das kann jedoch mühsam sein, und Sie müssen es nicht unbedingt tun.

Wenn Sie möchten, dass Firejail mit jedem Programm ausgeführt wird, für das es ein Standardprofil hat, können Sie einen einfachen Befehl als root ausführen, und Firejail richtet sich selbst ein.

firecfg

Wenn Sie bei dieser großen Auswahl an Programmen, die Firejail standardmäßig verwenden, nicht verwenden, können Sie die gewünschten Programme manuell festlegen.

ln -s /usr/bin/firejail /usr/local/bin/firefox

Dadurch wird eine symbolische Verbindung zwischen firejail und dem ausgeführten Programm hergestellt. Ersetzen Sie Ihr System und Programm durch den tatsächlichen Pfad.

Abschließende Gedanken

Firejail ist eine hervorragende Möglichkeit, Anwendungen unter Linux zu unterteilen und eine potenzielle Sicherheitsverletzung unter Quarantäne zu stellen, bevor sie überhaupt eintritt. Es hat auch das Potenzial, Fehler daran zu hindern, mehr als nur das Programm, das sie betreffen, zum Absturz zu bringen. Da es so einfach zu bedienen ist, gibt es keinen Grund, Firejail nicht auf Ihrem System auszuführen.