Firejail : Le couteau suisse du confinement sous Linux
Résumé
L'isolation des processus sous Linux est un sujet bien connu des administrateurs systèmes qui peut porter sur un grand nombre d'éléments distincts (e.g. système de fichiers, réseau, espace mémoire, espace de PID). Du simple changement de racine à la virtualisation lourde, en passant par les conteneurs ou bien encore les systèmes de contrôle d'accès obligatoire, un grand nombre de techniques existe pour répondre à ce besoin de confinement (sans mauvais jeu de mots). Toute technique d'isolation a malheureusement un coût, que ce soit en espace de stockage, en perte de performance suite aux opérations induites par la surcouche du système d'isolation mais aussi en complexité de configuration et d'intégration. Le noyau Linux propose un ensemble de fonctionnalités allant dans le sens d'une isolation sur mesure tout en minimisant le coût de surcharge. Firejail est un outil libre offrant une interface simplifiée et donnant accès à la manipulation de ces fonctionnalités. Cet article donne un aperçu ainsi que des cas d'usages d'un tel outil dans le cadre d'un système d'information mais également dans un contexte d'enseignement. Nous utilisons Firejail comme moyen d'aborder la problématique de l'isolation des processus sous Linux dans sa globalité.
Origine : Fichiers éditeurs autorisés sur une archive ouverte