Co je AppArmor a jak udržuje Ubuntu bezpečnou?

AppArmor je důležitá bezpečnostní funkce, která byla od Ubuntu 7.10 ve výchozím nastavení součástí Ubuntu. Nicméně, to běží tiše v pozadí, takže možná nebudete vědět, co to je a co dělá.

AppArmor uzamkne zranitelné procesy, což omezuje poškození zabezpečení v těchto procesech. AppArmor lze také použít k uzamčení aplikace Mozilla Firefox za zvýšenou bezpečnost, ale ve výchozím nastavení to nedělá.

Co je AppArmor?

AppArmor je podobný typu SELinux, který je ve výchozím nastavení používán ve Fedora a Red Hat. Zatímco pracují jinak, AppArmor i SELinux poskytují zabezpečení "povinného řízení přístupu" (MAC). Aplikace AppArmor ve skutečnosti umožňuje vývojářům Ubuntu omezit procesy, které mohou procesy provádět.

Například jedna aplikace, která je omezena ve výchozím nastavení Ubuntu, je prohlížeč Evince PDF. Zatímco služba Evince může fungovat jako uživatelský účet, může podniknout pouze konkrétní akce. Společnost Evince má pouze minimum oprávnění k práci s dokumenty PDF. Pokud byla objevena chyba zabezpečení v aplikaci Evince pro vykreslování PDF a otevření škodlivého dokumentu PDF, který převzal Evince, AppArmor by omezil škody, které by mohla Evince učinit. V tradičním modelu zabezpečení systému Linux bude Evince mít přístup ke všemu, na který máte přístup. Aplikace AppArmor má přístup pouze k věcem, které prohlížeč PDF potřebuje.

AppArmor je obzvláště užitečný pro omezení softwaru, který může být využíván, jako je například webový prohlížeč nebo serverový software.

Zobrazení stavu aplikace AppArmor

Chcete-li zobrazit stav aplikace AppArmor, spusťte následující příkaz v terminálu:

sudo apparmor_status

Uvidíte, zda je ve vašem systému spuštěna aplikace AppArmor (ve výchozím nastavení běží), nainstalované profily AppArmor a omezené procesy, které jsou spuštěny.

AppArmor Profiles

V aplikaci AppArmor jsou procesy omezeny profily. Výše uvedený seznam zobrazuje protokoly instalované v systému - tyto jsou dodávány s Ubuntu. Můžete také nainstalovat jiné profily instalací balíčku apparmor-profiles. Některé balíčky - například serverový software - mohou pocházet z vlastních profilů AppArmor, které jsou na systému instalovány společně s balíčkem. Můžete také vytvořit vlastní AppArmor profily pro omezení softwaru.

Profily mohou běžet v režimu "stížností" nebo "vynutit režim". V režimu vynucení - výchozí nastavení pro profily, které se dodávají s Ubuntu - AppArmor zabraňuje aplikacím v přijímání omezených akcí. V režimu stížností aplikace AppArmor umožňuje aplikacím provádět omezená opatření a vytváří záznam o záznamu, který si o tom sděluje. Režim Complain je ideální pro testování profilu AppArmor před tím, než jej povolíte v režimu vynucení - uvidíte chyby, ke kterým by došlo v režimu vynucení.

Profily jsou uloženy v adresáři /etc/apparmor.d. Tyto profily jsou soubory prostého textu, které mohou obsahovat komentáře.

Povolení AppArmor pro Firefox

Také si můžete všimnout, že AppArmor je dodáván s profilem Firefoxu - je to usr.bin.firefox soubor v souboru /etc/apparmor.d adresář. Ve výchozím nastavení není povoleno, protože může příliš ohrozit Firefox a způsobit problémy. The /etc/apparmor.d/disable obsahuje odkaz na tento soubor, což znamená, že je zakázáno.

Chcete-li povolit profil Firefoxu a omezit Firefox pomocí aplikace AppArmor, spusťte následující příkazy:

sudo rm /etc/apparmor.d/disable/usr.bin.firefox

kočka /etc/apparmor.d/usr.bin.firefox | sudo apparmor_parser -a

Po spuštění těchto příkazů spusťte příkaz sudo apparmor_status znovu spusťte příkaz a zjistíte, že jsou nyní načteny profily Firefoxu.

Chcete-li profil Firefox zakázat, pokud způsobuje problémy, spusťte následující příkazy:

sudo ln -s /etc/apparmor.d/usr.bin.firefox /etc/apparmor.d/disable/

sudo apparmor_parser -R /etc/apparmor.d/usr.bin.firefox

Podrobnější informace o používání aplikace AppArmor naleznete na oficiální stránce Ubuntu Server Guide na AppArmor.