Hallo Chris. Scheint so als müsste ich mich mal mit Namespaces auseinander setzen. Davon habe ich bisher noch garnichts gehört. LXC ist mir auch neu. Mal sehn was man da lernen kann.
Übrigens, falls dir das Steilshoop was sagt, kennen wir uns glaub ich : ) Gruß, Reiner > On 16 Feb 2015, at 21:45, Christian Perle <[email protected]> wrote: > > Hallo Reiner, > > On Mon, Feb 16, 2015 at 14:39:50 +0100, Reiner Lange wrote: > >> Jetzt habe ich https://l3net.wordpress.com/projects/firejail/ entdectk. Da >> gibt es auch debian Pakete. Kennt das jemand? Abgesehen von exploits >> die einem root geben, sollte das doch jegliche Spinoage auf die daten >> einschränken, die ich pro App freigebe… > > Ich wollte es schon mal ausprobieren, hatte aber damals noch keinen > 3er-Kernel. Hab es vorhin auf Debian Wheezy aus Sourcen gebaut und kurz > angetestet. Der Wheezy-Kernel (3.2) hat einige Funktionen noch nicht, die > firejail gerne nutzen will (z.B. seccomp). Die Namespaces funktionieren > aber soweit. Private Mounts, Network- und PID-Namespaces usw. klappen. > Im firefox-Profil hat der Browser die PID 1. > > Etwas erstaunt war ich, dass trotz privatem /tmp-Verzeichis (und damit > Wegfall der Socket-Datei /tmp/.X11-unix/X0) der X-Server trotzdem erreicht > werden konnte. Liegt daran, dass der X-Socket auch als Abstract Socket > (erstes Zeichen ist @) vom Server bereitgestellt wird. > > Anscheinend macht firejail auch massiven Gebrauch von bind-mounts. Im > firefox-Profil wird z.B. das /bin/mount-Binary durch einen privaten > bind-mount ueber die Datei unzugaenglich gemacht. Das .ssh-Verzeichnis > des Users wird durch einen privaten tmpfs-Mount ausgeblendet. > >> Was wären die Alternativen, mit denen ich ohne große Verränkungen im >> täglichen Betrieb Desktop Apps Sandboxen kann? > > LXC (Linux Containers) nutzt auch Namespaces, CGroups usw., ist aber im > Setup etwas aufwendiger. Kenne ich bisher aber auch nur theoretisch, > noch keine Praxiserfahrung. > > Gruss, > Chris > -- > Christian Perle chris AT linuxinfotag.de > 010111 http://chris.silmor.de/ > 101010 LinuxGuitarKitesBicyclesBeerPizzaRaytracing > > _______________________________________________ > Lug-dd maillist - [email protected] > https://ssl.schlittermann.de/mailman/listinfo/lug-dd _______________________________________________ Lug-dd maillist - [email protected] https://ssl.schlittermann.de/mailman/listinfo/lug-dd
