SECURITE Firejail

Bonjour,

Nous allons parler de Firejail, qui fait office de sandbox (bac à sable), qui permet d'améliorer la sécurité de votre système, sans oublier que sandboxer une application est loin d'être une solution parfaite.

Ce tutoriel est axé sur debian Jessie Stable, en version 64 bits, et fais suite à ce tutoriel, concernant pipelight, permettant de mieux protéger le navigateur contre les failles de sécurité des plug-ins propriétaires.


==>Mais qu'est ce une sandox ? Selon le site de Wikipedia:

Wikipedia a dit:

Dans le domaine de la sécurité des systèmes informatiques, un sandbox (anglicisme signifiant « bac à sable ») est un mécanisme qui permet l'exécution de logiciel(s) avec moins de risques pour le système d'exploitation. Ces derniers sont souvent utilisés pour exécuter du code non testé ou de provenance douteuse.

Cliquez pour agrandir...

Firejail est disponible, à la date d'aujourd'hui (Août 2015) , sur les grandes distributions principales (debian, ubuntu, red hat, etc)

Nous allons parler du cas de debian :

==>Sur sid et la strecht, on peu l'installer dans un terminal:

==>Pour debian jessie stable, selon l'architecture de votre ordinateur, il faut télécharger les paquets suivants:

• Pour l'architecture 32 bits: lien
• Pour l'architecture 64 bits: lien

Une fois décompressé le fichier, il faut faire:

==>Puis, s'il faut retenir qu'une chose, pour sandoxer un programme, il faut taper:

==>Dans le cas de iceweasel:


Il faut taper, dans un teminal (non root)

Par défaut, firejail met en lecture seule les principaux répertoires importants, et bloque les dossiers suivants:

• /sbin
• /usr/sbin
• /boot

Si vous utilisez firefox \ iceweasel , il bloque également Il bloque également plusieurs fichiers qui stocke des clés de chiffrement et des certificats dans le répertoire personnel de l'utilisateur .

==>Pour avoir le mode debug, qui permet de visionner les messages d'erreurs et d'alertes, ou encore d'informations,vous pouvez activer le mode debug:

==>Si vous voulez plus de protection, vous pouvez utiliser cette ligne suivante:

==>Vous avez aussi un mode "private"

Note:Firejail ne se limite pas qu'aux navigateurs, mais prend en charge par défaut d'autres programmes, tel que VLC, icedove, thunderbird, transmission,Opera, chromium, etc.

De plus Firejail peut sandboxer d'autres applications, mais aussi sandboxer des serveurs, etc.

Les applications de Firejail sont immenses, ce qui vient d'être expliqué au dessus n'est qu'une petite partie de ses possibilités, en consultant la documentation.

==>Il existe une version graphique, firetools , mais qui est encombrant, et qui n'affiche pas visuellement toutes les applications.

Astuce: Si vous voulez sandboxer plusieurs applications, vous pouvez ouvir un terminal, ouvrir un autre onglet avec "ctrl"+"shift"+"t", et sandboxer chaque application sur chaque ouvert, ou encore utiliser screen.

Enfin, selon vos besoins, vous pouvez modifier ce que vous voulez sandboxer, dans le dossier

ou créer un fichier de configuration.

Cordialement