Oui, parmi les solutions de sandbox évoquées dans les commentaires, firejail est celle qui se rapproche le plus de bubblewrap.
Les grosses différences :
Comme tu le notes, bubblewrap est bien plus brut de décoffrage, où on commence dans une sandbox complètement vide et où l’utilisateur doit tout configurer à la main. Ce que je considère au final comme étant un plus dans une phase de découverte
Firejail fonctionne sur une logique de blacklist plutôt que de whitelist. Tu peux le voir en lançant firejail --no-profile : par défaut, tout est partagé. Personnellement, je n’aime pas du tout ce fonctionnement : je préfère oublier de partager quelque chose d’important, que ça plante, et l’ajouter, plutôt que d’oublier de blacklister quelque chose de sensible (et ne m’en rendre compte que trop tard).
Firejail a globalement beaucoup plus de fonctionnalités que bubblewrap (support de apparmor/seccomp, possibilité de faire du filtrage réseau, support natif de D-Bus)... ce qui n’est pas nécessairement une bonne chose considérant que firejail est un programme suid
Malgré la pléthore de fonctionnalités, impossible de faire des binds arbitraires (comme --bind ~/.config/mozilla ~/.mozilla par exemple)
Toutes ces raisons font que personnellement je préfère bubblewrap. Mais les deux sont conceptuellement très proches.
[^] # Re: bubblewrap
Posté par Moonz . En réponse au journal Sandboxer des applications avec bubblewrap (1/3) : un shell basique. Évalué à 5.
Oui, parmi les solutions de sandbox évoquées dans les commentaires, firejail est celle qui se rapproche le plus de bubblewrap.
Les grosses différences :
--bind ~/.config/mozilla ~/.mozillapar exemple)Toutes ces raisons font que personnellement je préfère bubblewrap. Mais les deux sont conceptuellement très proches.