Написание профиля firejail для браузера

[dr_faust]

Допустим, firefox. Иные тоже привествуются.

Если кто-то из здешних пользуется данным средством создания "песочницы", прошу поделиться опытом, указав какие именно настройки и ЗАЧЕМ прописываете.

Со стандартным профилем из пакета frejail-profile ознакомлен. В нем прямо написано, что это "болванка" для допиливания под свои нужды. Хотелось бы услышать какие именно нужды бывают и как их реализовывают в виде параметров настройки.

[ChubaDuba]

FireJail — краткое и ознакомительное практическое руководство

[dr_faust]

ChubaDuba, браузера примечательны тем, что в них нынче много разного рода изоляций и дочерних процессов. ХЗ как правильно написать, не зная принципа работы браузера. А я не знаю.

Накатал нечто такое. Прошу здешних ознакомиться и покритиковать.

Код Выделить Развернуть

#Название песочницы
name firefox-esr
#Если уже запущена, то не создавать новую, а запустить процесс в старой
join-or-start firefox-esr
#К чему имеет доступ с правами чтения и записи. Остальной хомяк не видит.
#Что такое храниться в первой директории, насколько нужно для работы приложения? И не стоит ли заменить параметром private-cache?
whitelist ${HOME}/.cache/mozilla/firefox
whitelist ${HOME}/.mozilla
whitelist <директория, в которую скачивать файлы>
#Включить и эту песочницу
apparmor
#Что-то про отключение всякого нехорошего в ядре
caps.drop all
seccomp
#Создать изолированное пространство имен
restrict-namespaces
#Разрешить трафик локально и по протоколу ipv4
protocol unix,inet
#для каждого нового запуска песочницы генерировать одноразовый
machine-id
#Отключить разную периферию и т. п.
#Аппаратные токены, виртуальную реальность, дисководы и проч.
nou2f
novideo
noprinters
notv
noinput
nodvd
no3d
#Отключить dbus. Насколько понимаю это такой интерфес для обмена информацией между приложениями в системе
nodbus
#Не давать доступа к каким-либо группам пользователя кроме основной
nogroups
#Не запускать под рутом и не повышать привилегии
nonewprivs
noroot
#Запретить доступ к /mnt,/media
disable-mnt
#Создать временные, исключительно для песочницы, ФС /dev и /tmp
private-dev
private-tmp
#Создать и скопировать из постоянной указаную директорию
private-etc firefox-esr
#Создать и скопировать из постоянной следующие исполняемые файлы.
#Список подбирал интуитивным методом тыка пока браузер не #заработал. Может что-то лишнее? Или, наоборот, еще нужно добавить?
private-bin bash,env,firefox-esr,sh,which

16 ноября 2024, 13:37:22
Еще есть некая песочника для x11. До разборки что это и как пользоваться руки не дошли.

[dzhoser]

1. Чисто теоретически запуск в старой песочнице может перерасти в переполнение буфера. Гуглим Sandbox Escape.
2. Хранятся данные для работы и ускорения загрузки сайтов, а также профили пользователей
3. disable-mnt не запрещает доступа к /media
4. Переменные необходимо создавать для конкретных устройств. Иначе будут доступны все

[dr_faust]

2. Хранятся данные для работы и ускорения загрузки сайтов, а также профили пользователей

А не в ${HOME}/.mozilla ?

3. disable-mnt не запрещает доступа к /media

Сейчас специально проверил. Закоментировал и попытался через меню управления закладками откррыть /mnt,/media. Открылись как милые. Убрал коммент и снова попытался. "Доступ запрещен".
В то же время эта опция почему-то не описана в мане. Увидел только в общем конфиге самого firejail.

4. Переменные необходимо создавать для конкретных устройств. Иначе будут доступны все

Не понял о чем речь.

[Лия]

А не в ${HOME}/.mozilla ?

В .mozilla настройки, в .cache/mozilla - кэш

[dr_faust]

А не в ${HOME}/.mozilla ?

В .mozilla настройки, в .cache/mozilla - кэш

Ну я примерно понимаю, что в первой лежат настройки профиля, а во второй закадочный кэш.  Не понимаю, что в него входит. Допустим, я применю опцию private-cache  - и эта директория будет создаваться каждый раз в оперативной памяти заново, когда  запущу браузер. Вопрос. Что изменится в работе самого браузера?

[Лия]

а во второй закадочный кэш.  Не понимаю, что в него входит.

https://www.google.com/search?q=что+такое+кэш+браузера

[dr_faust]

Проверил опытным путем. Вроде все настройки с закладками да дополнениями на месте.
При этом постоянного кэша на 40 мб. Хотя в настроках вроде все так настроено, чтобы чистилось при закрытии браузера.

17 ноября 2024, 00:23:17
По графической песочнице. Если прописать в файл профиля

Код Выделить Развернуть

x11 xephyr
xephyr-screen 1280x720
то она запускается - если, конечно, предварительно установлен xephyr - однако только со стандартным разрешением 800х600. Т.е. вторая опция не работает. Ее надо прописывать в /etc/firejail/firejail.config
Заданное таким образом разрешение будет одинаковым для всех песочниц.
Если надо разное, то в десктоп-файле приложения  прописать нечто вроде

Код Выделить Развернуть

firejail --profile=полный путь к файлу профиля --xephyr-screen=1280x720
Странно это. firejail version 0.9.72

[Лия]

Остальной хомяк не видит.

Для этого удобно использовать private

Код Выделить Развернуть

$ LESS=+/--private=directory man firejail
Ещё у меня два профиля с отдельными хомяками для них - один для банков/госуслуг, другой для мемов с котами остального интернета

[dr_faust]

Остальной хомяк не видит.

Для этого удобно использовать private

Код Выделить Развернуть

$ LESS=+/--private=directory man firejail
Ещё у меня два профиля с отдельными хомяками для них - один для банков/госуслуг, другой для мемов с котами остального интернета

Удобно, если приложение еще не настроено. А если у тебя куча закладок, дополнений, редактировал конфиг через about:config хз сколько раз и уже не помнишь что и зачем, то остается вот так извращаться.

Еще надо почтовый клиент запустить в песочнице. Но там без dbus никак. ХЗ как настраивать. Для меня эти сервисы темный лес. Придется пару дней помучаться гуглом и методом тыка.

[Лия]

Удобно, если приложение еще не настроено. А если у тебя куча закладок, дополнений, редактировал конфиг через about:config хз сколько раз и уже не помнишь что и зачем, то остается вот так извращаться.

Основной:

Код Выделить Развернуть

$ mkdir ${HOME}/.fxprofile1
$ cp -rv ${HOME}/.mozilla ${HOME}/.fxprofile1/
$ firejail --private=${HOME}/.fxprofile1 firefox-esr -new-instance

Второй - для банков/госуслуг, настроить с нуля с минимумом дополнений (в идеале - только блокировщик рекламы):

Код Выделить Развернуть

$ mkdir ${HOME}/.fxprofile2
$ firejail --private=${HOME}/.fxprofile2 firefox-esr -new-instance

Как-то так

17 ноября 2024, 01:39:16

Еще надо почтовый клиент запустить в песочнице. Но там без dbus никак.

У меня громоптица (Thunderbird) и без него живёт

ХЗ как настраивать.

Код Выделить Развернуть

LESS=+/--dbus man firejail
смотреть в сторону --dbus-system / --dbus-user
и курить маны

17 ноября 2024, 01:42:20
Вместо nodbus лучше

Код Выделить Развернуть

dbus-system none
dbus-user none

17 ноября 2024, 01:44:55

3. disable-mnt не запрещает доступа к /media

Запрещает

--disable-mnt
              Blacklist /mnt, /media, /run/mount and /run/media access.

              Example:
              $ firejail --disable-mnt firefox

17 ноября 2024, 01:47:16

4. Переменные необходимо создавать для конкретных устройств. Иначе будут доступны все

--private-dev
Create a new /dev directory. Only disc, dri, dvb, hidraw, null, full, zero, tty, pts, ptmx, random, snd, urandom, video, log, shm and usb devices are available.
Use the options --no3d, --nodvd, --nosound, --notv, --nou2f and --novideo for additional restrictions.

17 ноября 2024, 01:49:20

disable-mnt

В то же время эта опция почему-то не описана в мане.

Код Выделить Развернуть

$ LESS=+/--disable-mnt man firejail


[dr_faust]

По порядку.

1. Почему

Код Выделить Развернуть

dbus-system none
dbus-user noneлучше

Код Выделить Развернуть

nodbus
?
Судя по описанию в мане последнее эвивалентно наличию двух первых. Хотя и помечено как устаревшая опция.

2. По ману dbus в fiirejail все понятно. Равно как и по общему принципу работы самого dbus. Непонятно откуда брать имена dbus сервисов и как определять какой каким именно функции выполняет?
Пока вижу два варианта: читать уже имеющиеся профили и включить опцию логирования запросов dbus в firejail.

3. По отдельному /home каждому приложению. Обнаружил один недостаток использования. Допустим, нужно интегрировать некий меседжер с имеющимися в постоянном общем /home ключами gpg. Как это сделать, поместив меседжер, при помощи опции private, в отдельный /home непонял. Пробовал прописывать и private, и private-home .gnupg, надеясь на временое копирование последнего в отдельный постонный хомяк, определенный первым. Одако этогоо не происходит.

Подобная головная боль возникает при всякой необходимости интегрировать несколько приложений в одну песочницу. Например, почтовый клиент, браузер и текстовый редактор.

20 ноября 2024, 13:11:21
4.  Настроив песочницу для браузера следующим образом

Код Выделить Развернуть

name firefox-esr
join-or-start firefox-esr
apparmor
caps.drop all
seccomp
restrict-namespaces
machine-id
protocol unix,inet
disable-mnt
private-dev
private-tmp
private-cache
private-etc firefox-esr
private-bin bash,env,firefox-esr,sh,which
private /home/user/<директория под лису>
nou2f
novideo
noprinters
notv
noinput
nodvd
no3d
nodbus
nogroups
nonewprivs
noroot
заметил, что при открытии сайта телеграмма конкретно так подтормаживает. Прокрутка меденна и рывками. Не плавная.
Отключенное аппаратное ускорение(no3d)?
20 ноября 2024, 13:13:07
5.

Код Выделить Развернуть

$ LESS=+/--disable-mnt man firejail
Не понимаю синтаксиса. Для поиска по ман-странице, предварительно открыв ее, использую /
Но это показывает только первое совпадение.

6. А параметр env - нужен для запуска wine-префиксов - можно в профиль прописать или же только в консоли работает?

[Лия]

1. Почему

Хотя и помечено как устаревшая опция.

Именно поэтому

3. По отдельному /home каждому приложению. Обнаружил один недостаток использования. Допустим, нужно интегрировать некий меседжер с имеющимися в постоянном общем /home ключами gpg. Как это сделать, поместив меседжер, при помощи опции private, в отдельный /home непонял. Пробовал прописывать и private, и private-home .gnupg, надеясь на временое копирование последнего в отдельный постонный хомяк, определенный первым. Одако этогоо не происходит.

Как вариант:

Код Выделить Развернуть

mkdir /home/user/<директория под лису>/.gnupg
sudo mount -o bind /home/user/.gnupg /home/user/<директория под лису>/.gnupg


6. А параметр env - нужен для запуска wine-префиксов - можно в профиль прописать или же только в консоли работает?

Думаю да, можно

[RedEye]

FireJail — краткое и ознакомительное практическое руководство

Первый раз за очень долгое (практически за все) время вижу полезную ссылку