firejailэто не волшебный инструмент, который делает все правильно. Это инструмент безопасности, который позволяет вам определять свои собственные правила поведения. Например, эти аргументы:
firejail --noprofile Не даст никакой защиты вообще. Потому что вы не указали никаких ограничений, и firejail разрешает по умолчанию. Чтобы сделать некоторые каталоги доступными только для чтения, вы должны написать это явно. Что-то вроде:
firejail --noprofile --read-only=/ --read-only=~ --read-only=/tmp (Я написал /, ~и /tmpотдельно, потому что firejail имеет несколько удивительное поведение, сортируя ваши директивы по не совсем тривиальным правилам и делая свои собственные ~монтирования посередине.)
Кроме того, без каких-либо --caps.drop=allаргументов, --seccompи такие ваши программы не будут в безопасности в любом случае. Потому что процесс может взаимодействовать с другими процессами через сокеты Unix, абстрактные сокеты и т. Д., Используя их ошибки. Если вы хотите относительно нормальную «тюрьму», добавьте по крайней мере seccomp, caps.drop = all и nonewprivs директивы.
РЕДАКТИРОВАТЬ: цитата, которую вы упомянули, вероятно, просто неправильно. (Или я так думаю.) Это более сложно, чем просто «все только для чтения».