Изоляция приложений в openbsd

В OpenBSD есть только изоляция системных вызовов с помощью pledge(2), и для этого нужно патчить программы. Firefox уже патчат: http://undeadly.org/cgi?action=article;sid=20180502053623.

Чего-нибудь типа firejail нет.

Спасибо. Правильно ли я понял, что pledge является параметром который находится непосредственно в коде программы? Запустить какую нибудь программу, например email клиент mutt с параметром -pledge без изменения исходников не получится?

Нет, оно работает сразу же, без всяких аргументов. Базовая система, например, уже работает с pledge.

Я не сильно сообразительный, что мне нужно сделать, чтобы, например, ограничить почтовый клиент mutt?

Пропатчить его, чтобы он использовал только нужные системные вызовы. https://unix.stackexchange.com/questions/410056/what-is-openbsds-pledge-in-sh...

Для подробностей можно обратиться в почтовую рассылку.

Например, чтобы firefox не мог ничего делать за пределами своей директории.

Стандартный для OpenBSD (UNIX-way) способ изоляции ресурсов — запуск под другим пользователем. В случае firefox'а — отдельная иксовая сессия под другим пользователем.

Например, так: https://www.linux.org.ru/news/hardware/13685681?cid=13690132 (комментарий)