Firejail - 版の履歴

Kusanaginoturugi: 校正（でき・出来）

2024-07-10T11:57:20Z

校正（でき・出来）

← 古い版		2024年7月10日 (水) 20:57時点における版
183行目:		183行目:
	apparmor		apparmor

	そして、例えば "curl" はインターネットに接続出来るようにしつつ、Apparmor の制限を維持するには、{{ic\|/etc/firejail/curl.local}} を作成/編集して以下の行を含めます:		そして、例えば "curl" はインターネットに接続できるようにしつつ、Apparmor の制限を維持するには、{{ic\|/etc/firejail/curl.local}} を作成/編集して以下の行を含めます:

	# enable internet for curl		# enable internet for curl

AshMyzk: /* プロファイルの記述法 */ 訳を修正

2023-04-23T09:45:42Z

プロファイルの記述法: 訳を修正

← 古い版		2023年4月23日 (日) 18:45時点における版
158行目:		158行目:
	基本的な手順は以下の通りです:		基本的な手順は以下の通りです:

	# {{ic\|/usr/share/doc/firejail/profile.template}} を {{ic\|/etc/firejail/}} か {{ic\|~/.config/firejail/}} へコピーし、ファイル名を {{ic\|''ProfileName''.profile}} と変更してください。''ProfileName'' はサンドボックス化する実行ファイルの名前と同じである~~べきで~~す。		# {{ic\|/usr/share/doc/firejail/profile.template}} を {{ic\|/etc/firejail/}} か {{ic\|~/.config/firejail/}} へコピーし、ファイル名を {{ic\|''ProfileName''.profile}} と変更してください。''ProfileName'' はサンドボックス化する実行ファイルの名前と同じである必要があります。
	# {{ic\|include PROFILE.local}} の行を {{ic\|include ProfileName.local}} に変更してください。		# {{ic\|include PROFILE.local}} の行を {{ic\|include ProfileName.local}} に変更してください。
	# 対象のアプリケーションがサンドボックス内で実行できることを確かめながら、徐々に様々なオプションをコメントアウト/アンコメントしてください。テンプレート内のセクションの順番は変更しないでください。		# 対象のアプリケーションがサンドボックス内で実行できることを確かめながら、徐々に様々なオプションをコメントアウト/アンコメントしてください。テンプレート内のセクションの順番は変更しないでください。

Kusanaginoturugi: テンプレート:Merge を削除

2023-04-05T08:06:06Z

テンプレート:Merge を削除

← 古い版		2023年4月5日 (水) 17:06時点における版
330行目:		330行目:

	=== Warning: Cannot confine the application using AppArmor ===		=== Warning: Cannot confine the application using AppArmor ===

	{{Merge\|#Enable AppArmor support\|The requirement to enable AppArmor should be made explicit in the previous text. And note that Manjaro references are irrelevant.}}

	一部のアプリケーションでは (例: [[Firefox]] [https://archived.forum.manjaro.org/t/firejail-apparmor-needs-kernel-patch/97700/3]) Firejail で起動すると以下のような警告を発する場合があります:		一部のアプリケーションでは (例: [[Firefox]] [https://archived.forum.manjaro.org/t/firejail-apparmor-needs-kernel-patch/97700/3]) Firejail で起動すると以下のような警告を発する場合があります:

AshMyzk: 同期

2022-09-09T02:05:23Z

同期

← 古い版		2022年9月9日 (金) 11:05時点における版
84行目:		84行目:

	=== hardened_malloc を使う ===		=== hardened_malloc を使う ===

			{{Note\|一部のプログラム (例えば PyCharm) は、{{ic\|libhardened_malloc.so}} を使用すると正しく動作しなくなります。}}

	{{AUR\|hardened_malloc}} は glibc の {{ic\|malloc()}} アロケータを堅牢化した実装です。もともとは Android 用に記述されましたが、デスクトップ用に拡張されました。glibc にはまだ統合されていませんが、{{ic\|LD_PRELOAD}} で選択して使用することができます。hardened_malloc を使用して Firejail 内でアプリケーションを実行する適切な方法は以下のとおりです。永続的に hardened_malloc を使用するには、お望みのアプリケーションに対するエントリを /usr/local/bin 内に作成する必要があります。		{{AUR\|hardened_malloc}} は glibc の {{ic\|malloc()}} アロケータを堅牢化した実装です。もともとは Android 用に記述されましたが、デスクトップ用に拡張されました。glibc にはまだ統合されていませんが、{{ic\|LD_PRELOAD}} で選択して使用することができます。hardened_malloc を使用して Firejail 内でアプリケーションを実行する適切な方法は以下のとおりです。永続的に hardened_malloc を使用するには、お望みのアプリケーションに対するエントリを /usr/local/bin 内に作成する必要があります。
373行目:		375行目:
	* [[bubblewrap]] Firejail の最小限の代用品		* [[bubblewrap]] Firejail の最小限の代用品

	{{TranslationStatus\|Firejail\|2022-08-03\|~~739840~~}}		{{TranslationStatus\|Firejail\|2022-09-09\|745153}}

AshMyzk: 同期

2022-08-02T20:38:12Z

同期

← 古い版		2022年8月3日 (水) 05:38時点における版
28行目:		28行目:
	そのアプリケーションに対する firejail のデフォルトの保護(デフォルトのプロファイル)を使用してアプリケーションを実行するには、以下を実行します:		そのアプリケーションに対する firejail のデフォルトの保護(デフォルトのプロファイル)を使用してアプリケーションを実行するには、以下を実行します:

	$ firejail ~~<program name>~~		$ firejail ''program_name''

	デフォルトプロファイルへの1回限りの追加は、コマンドラインオプションとして追加できます（~~マニュアルページ~~を参照）。たとえば、seccomp 保護を使用して okular を実行するには、次のコマンドを実行します:		デフォルトプロファイルへの1回限りの追加は、コマンドラインオプションとして追加できます（{{man\|1\|firejail}} を参照）。たとえば、seccomp 保護を使用して okular を実行するには、次のコマンドを実行します:

	$ firejail --seccomp okular		$ firejail --seccomp okular
36行目:		36行目:
	1つのプログラムにデフォルト以外の複数のプロファイルを定義できます。プロファイルファイルを作成したら、次のコマンドを実行して使用できます:		1つのプログラムにデフォルト以外の複数のプロファイルを定義できます。プロファイルファイルを作成したら、次のコマンドを実行して使用できます:

	$ firejail --profile=/absolute/path/to/profile ~~<program name>~~		$ firejail --profile=''/absolute/path/to/profile program_name''

	=== デフォルトで Firejail を使う ===		=== デフォルトで Firejail を使う ===
109行目:		109行目:
	* {{ic\|--apparmor}} フラグをコマンドラインを通じて Firejail に渡す。例: {{ic\|$ firejail --apparmor firefox}}		* {{ic\|--apparmor}} フラグをコマンドラインを通じて Firejail に渡す。例: {{ic\|$ firejail --apparmor firefox}}
	* カスタムプロファイルを使用し、{{ic\|apparmor}} コマンドを追加する。		* カスタムプロファイルを使用し、{{ic\|apparmor}} コマンドを追加する。
	* {{ic\|/etc/firejail/globals.local}} で AppArmor をグローバルに有効化し、必要に応じて {{ic\|/etc/firejail/<ProgramName>.local}} 内で {{ic\|ignore apparmor}} を使用して無効化する。		* {{ic\|/etc/firejail/globals.local}} で AppArmor をグローバルに有効化し、必要に応じて {{ic\|/etc/firejail/''ProgramName''.local}} 内で {{ic\|ignore apparmor}} を使用して無効化する。

	上記の方法で AppArmor を有効化すると'''必ず''' {{ic\|/etc/apparmor.d/firejail-default}} が使用されることに注意してください。あるアプリケーションに対しては''特定''の AppArmor プロファイルを使いたい場合は、上記の {{ic\|ignore apparmor}} コマンドを使用する必要があります。しかし、Firejail と AppArmor を同一のアプリケーションに対して使用するとしばしば問題が引き起こされるので、これは[https://github.com/netblue30/firejail/wiki/Frequently-Asked-Questions#how-does-it-compare-with-apparmor 推奨されません]。		上記の方法で AppArmor を有効化すると'''必ず''' {{ic\|/etc/apparmor.d/firejail-default}} が使用されることに注意してください。あるアプリケーションに対しては''特定''の AppArmor プロファイルを使いたい場合は、上記の {{ic\|ignore apparmor}} コマンドを使用する必要があります。しかし、Firejail と AppArmor を同一のアプリケーションに対して使用するとしばしば問題が引き起こされるので、これは[https://github.com/netblue30/firejail/wiki/Frequently-Asked-Questions#how-does-it-compare-with-apparmor 推奨されません]。
372行目:		372行目:
	* [https://github.com/netblue30/firejail Firejail GitHub プロジェクトページ]		* [https://github.com/netblue30/firejail Firejail GitHub プロジェクトページ]
	* [[bubblewrap]] Firejail の最小限の代用品		* [[bubblewrap]] Firejail の最小限の代用品

			{{TranslationStatus\|Firejail\|2022-08-03\|739840}}

AshMyzk: /* トラブルシューティング */ リンクを修正

2022-05-26T23:25:12Z

トラブルシューティング: リンクを修正

← 古い版		2022年5月27日 (金) 08:25時点における版
279行目:		279行目:
	Firejail をデバッグするのは困難になる可能性があります。設定ミスや適切でないセットアップによる症状は、ランダムなセグメンテーションフォールトやアプリケーションのハングアップから単純なエラーメッセージまで多岐にわたります。		Firejail をデバッグするのは困難になる可能性があります。設定ミスや適切でないセットアップによる症状は、ランダムなセグメンテーションフォールトやアプリケーションのハングアップから単純なエラーメッセージまで多岐にわたります。

	一部のアプリケーションは他のものよりもサンドボックス化が困難です。例えば、[[Web ブラウザ]]や [[Electron]] アプリケーションは、トラブルになる要因が多いため、他のアプリケーションよりもトラブルシューティングを必要とする傾向にあります。デバッグは非常に多くの時間を要する可能性があるので、[https://github.com/netblue30/firejail/wiki/Frequently-Asked-Questions FAQ] や [https://github.com/netblue30/firejail/issues open issues] をチェックすることは欠かせません。		一部のアプリケーションは他のものよりもサンドボックス化が困難です。例えば、[[アプリケーション一覧#ウェブブラウザ\|Web ブラウザ]]や [[Electron]] アプリケーションは、トラブルになる要因が多いため、他のアプリケーションよりもトラブルシューティングを必要とする傾向にあります。デバッグは非常に多くの時間を要する可能性があるので、[https://github.com/netblue30/firejail/wiki/Frequently-Asked-Questions FAQ] や [https://github.com/netblue30/firejail/issues open issues] をチェックすることは欠かせません。

	{{Tip\|[https://github.com/netblue30/firejail/wiki アップストリームの wiki] も参照してください。特に [https://github.com/netblue30/firejail/wiki/Debugging-Firejail debugging Firejail] のページです。}}		{{Tip\|[https://github.com/netblue30/firejail/wiki アップストリームの wiki] も参照してください。特に [https://github.com/netblue30/firejail/wiki/Debugging-Firejail debugging Firejail] のページです。}}

AshMyzk: /* トラブルシューティング */ 翻訳

2022-05-26T12:29:12Z

トラブルシューティング: 翻訳

差分を表示

AshMyzk: /* トラブルシューティング */ タイトルのみ翻訳

2022-05-26T11:15:30Z

トラブルシューティング: タイトルのみ翻訳

← 古い版		2022年5月26日 (木) 20:15時点における版
283行目:		283行目:
	{{Tip\|Also see the [https://github.com/netblue30/firejail/wiki upstream wiki], especially its page on [https://github.com/netblue30/firejail/wiki/Debugging-Firejail debugging Firejail].}}		{{Tip\|Also see the [https://github.com/netblue30/firejail/wiki upstream wiki], especially its page on [https://github.com/netblue30/firejail/wiki/Debugging-Firejail debugging Firejail].}}

	=== ~~Remove~~ Firejail ~~symbolic links~~ ===		=== Firejail のシンボリックリンクを削除する ===

	To remove Firejail created symbolic links (e.g. reset to default):		To remove Firejail created symbolic links (e.g. reset to default):
311行目:		311行目:
	If the system uses the [[hidepid]] [[kernel parameter]], Firemon can only be run as root. This, among other things, will cause problems with the Firetools GUI incorrectly reporting "Capabilities", "Protocols" and the status of "Seccomp"[https://github.com/netblue30/firejail/issues/1564].		If the system uses the [[hidepid]] [[kernel parameter]], Firemon can only be run as root. This, among other things, will cause problems with the Firetools GUI incorrectly reporting "Capabilities", "Protocols" and the status of "Seccomp"[https://github.com/netblue30/firejail/issues/1564].

	=== ~~Proprietary~~ Nvidia ~~drivers~~ ===		=== プロプライエタリな Nvidia ドライバ ===

	Some users report problems when using Firejail and proprietary graphic drivers from [[NVIDIA]] (e.g. [https://github.com/netblue30/firejail/issues/1753], [https://github.com/netblue30/firejail/issues/879] or [https://github.com/netblue30/firejail/issues/841]). This can often be solved by disabling the {{ic\|noroot}} Firejail option in the application's profile file.		Some users report problems when using Firejail and proprietary graphic drivers from [[NVIDIA]] (e.g. [https://github.com/netblue30/firejail/issues/1753], [https://github.com/netblue30/firejail/issues/879] or [https://github.com/netblue30/firejail/issues/841]). This can often be solved by disabling the {{ic\|noroot}} Firejail option in the application's profile file.

	=== --net ~~options and~~ Linux ~~kernel~~ >=4.20.0 ===		=== --net オプションと Linux カーネル >=4.20.0 ===

	There is a bug on firejail 0.5.96 with linux >= 4.20.0, see [https://github.com/netblue30/firejail/issues/2314] and [https://github.com/netblue30/firejail/pull/2327]		There is a bug on firejail 0.5.96 with linux >= 4.20.0, see [https://github.com/netblue30/firejail/issues/2314] and [https://github.com/netblue30/firejail/pull/2327]
355行目:		355行目:
	patch -p1 < ../''file.patch''		patch -p1 < ../''file.patch''

			=== AMDGPU を使用するとグラフィカルなアプリケーションが起動時にハングする ===
	=== Graphical applications hang on start with AMDGPU ===

	{{Remove\|This should be fixed since 2021-06 with the release of 0.9.66}}		{{Remove\|This should be fixed since 2021-06 with the release of 0.9.66}}
365行目:		365行目:
	As a workaround, for all affected applications, add {{ic\|seccomp !kcmp}} to their profiles in {{ic\|etc/firejail}}. If they already have a {{ic\|seccomp}} statement, you can concatenate them as a comma-separated list, eg {{ic\|seccomp !chroot,!kcmp}}.		As a workaround, for all affected applications, add {{ic\|seccomp !kcmp}} to their profiles in {{ic\|etc/firejail}}. If they already have a {{ic\|seccomp}} statement, you can concatenate them as a comma-separated list, eg {{ic\|seccomp !chroot,!kcmp}}.

			=== デーモン化した/バックグラウンドのプロセスがハングする ===
	=== Daemonizing/backgrounded processes hang ===

	There is a [https://github.com/netblue30/firejail/issues/3491 known issue] that prevents processes from daemonizing. There is currently no solution to this except not using Firejail to sandbox the affected application. Because it is a bug within Firejail, no configuration can solve this issue. Fortunately the applications mentioned in the issue usually do not have a large attack surface, so the risks of running them without a sandbox are comparatively low.		There is a [https://github.com/netblue30/firejail/issues/3491 known issue] that prevents processes from daemonizing. There is currently no solution to this except not using Firejail to sandbox the affected application. Because it is a bug within Firejail, no configuration can solve this issue. Fortunately the applications mentioned in the issue usually do not have a large attack surface, so the risks of running them without a sandbox are comparatively low.

AshMyzk: /* ヒントとテクニック */ 翻訳

2022-05-26T10:54:30Z

ヒントとテクニック: 翻訳

← 古い版		2022年5月26日 (木) 19:54時点における版
244行目:		244行目:
	=== Firejail をより堅牢にする ===		=== Firejail をより堅牢にする ===

			Firejail が SUID 実行ファイルであることのセキュリティリスクは以下の行を {{ic\|/etc/firejail/firejail.config}} に追加することで緩和できます:
	The security risk of Firejail being a SUID executable can be mitigated by adding the line

	force-nonewprivs yes		force-nonewprivs yes

	~~to {{ic\|/etc/firejail/firejail.config}}. However, this can break specific applications. On~~ Arch Linux, VirtualBox ~~doesn't start anymore. With the~~ {{Pkg\|linux-hardened}} ~~kernel~~ Wireshark ~~and~~ Chromium~~-based browsers are also~~ ~~affected.~~		しかし、これは特定のアプリケーションの機能を破壊する可能性があります。Arch Linux 上では、VirtualBox が起動できなくなります。{{Pkg\|linux-hardened}} カーネルでは、Wireshark や Chromium ベースのブラウザも影響を受けます。

	~~Further hardening measures include creating a special~~ firejail ~~group with adding the user to that group and changing the file mode for the~~ firejail ~~executable. For details see~~ [https://firejail.wordpress.com/documentation-2/basic-usage/#suid ~~here~~].		特別な firejail のグループを作成してユーザをそのグループに追加したり、firejail 実行ファイルのファイルのモードを変更することでさらなる堅牢化をはかることができます。詳細は[https://firejail.wordpress.com/documentation-2/basic-usage/#suid このページ]を見てください。

	=== スペースを含むパス ===		=== スペースを含むパス ===

			{{aur\|palemoon}} を使うようなカスタムプロファイル内でとあるディレクトリを参照/ホワイトリスト化/ブラックリスト化する必要がある場合、カプセル化やエスケープなしの絶対パスを用いなければなりません:
	If you need to reference, whitelist, or blacklist a directory within a custom profile, such as with {{aur\|palemoon}}, you must do so using the absolute path, without encapsulation or escapes:

	/home/user/.moonchild productions		/home/user/.moonchild productions

	=== プライベートモード ===		=== プライベートモード ===

			Firejail は一回限りのプライベートモードも含んでいます。このモードでは、ホームディレクトリへの chroot でマウントが行われません。こうすれば、ディスクへの変更を伴わずにアプリケーションを実行できます。例えば、okular をプライベートモードで実行する場合、以下のようにしてください:
	Firejail also includes a one time private mode, in which no mounts are made in the chroots to your home directory. In doing this, you can execute applications without performing any changes to disk. For example, to execute okular in private mode, do the following:

	$ firejail --seccomp --private okular		$ firejail --seccomp --private okular
265行目:		266行目:
	=== 実験的な改良されたツール ===		=== 実験的な改良されたツール ===

			一部の Firejail 開発者はパッケージに同梱されているツールの問題を認識し、彼ら独自の改良されたバージョンを作成しました。
	Some of the Firejail developers recognized issues with the tools it ships with and made their own, improved versions of them.

			{{Warning\|いくつかのプロジェクトの説明にあるように、これらのツールは実験的であるかもしれません。}}
	{{Warning\|As stated in some of the projects descriptions, these tools might be experimental.}}

	* [https://github.com/rusty-snake/firecfg.py firecfg.py]~~, an improved version of~~ {{ic\|firecfg}}.		* [https://github.com/rusty-snake/firecfg.py firecfg.py]: {{ic\|firecfg}} の改良バージョン。
	* [https://github.com/rusty-snake/fjp fjp]~~, a tool to interact with~~ Firejail ~~profiles.~~		* [https://github.com/rusty-snake/fjp fjp]: Firejail のプロファイルと対話するツール。
	* [https://github.com/glitsj16/firejail-handler-http firejail-handler-http], ~~which helps with opening~~ HTTP(S) ~~links properly when sandboxing applications.~~		* [https://github.com/glitsj16/firejail-handler-http firejail-handler-http]: アプリケーションをサンドボックス化しているときに HTTP(S) のリンクを適切に開くことを補助します。
	* [https://github.com/glitsj16/firejail-handler-extra firejail-handler-extra], ~~like above but handles other protocols.~~		* [https://github.com/glitsj16/firejail-handler-extra firejail-handler-extra]: 上のものに似ていますが、他のプロトコルも処理します。

	== トラブルシューティング ==		== トラブルシューティング ==

AshMyzk: 関連記事に AppArmor を追加

2022-05-26T06:25:43Z

← 古い版		2022年5月26日 (木) 15:25時点における版
3行目:		3行目:
	{{Related articles start}}		{{Related articles start}}
	{{Related\|セキュリティ}}		{{Related\|セキュリティ}}
			{{Related\|AppArmor}}
	{{Related articles end}}		{{Related articles end}}
	[https://firejail.wordpress.com/ Firejail] は使いやすい SUID サンドボックスプログラムであり、Linux の名前空間や seccomp-bpf、Linux ケイパビリティを使うことで、信頼のおけないアプリケーションの実行環境を制限することにより、セキュリティ侵害のリスクを軽減します。		[https://firejail.wordpress.com/ Firejail] は使いやすい SUID サンドボックスプログラムであり、Linux の名前空間や seccomp-bpf、Linux ケイパビリティを使うことで、信頼のおけないアプリケーションの実行環境を制限することにより、セキュリティ侵害のリスクを軽減します。