Como o AppArmor lida com programas sem perfil?

Question

Eu configurei e configurei o AppArmor no Ubuntu e gostaria de saber como o AppArmor lida com pacotes e aplicativos que não têm perfil do AppArmor?

Depois de instalar o pacote com sudo apt-get install apparmor-profiles , tenho 175 perfis reportados como carregados de aa-status

Não consigo imaginar que eu tenha apenas 175 programas instalados na minha caixa e gostaria de saber o que o AppArmor faz para evitar violações de segurança em programas sem perfil.

    

Answer 1

Com o link FAQ, qualquer programa que não tenha perfil é basicamente desprotegido / sem restrições e pode fazer qualquer mal no Ubuntu, quase da mesma forma que não teria havido qualquer AppArmor em primeiro lugar

    

Answer 2

Primeiro, o plano de fundo do AppArmor:

  

O modelo de segurança do AppArmor é vincular os atributos de controle de acesso aos programas, e não aos usuários.

     

    

Os perfis do AppArmor podem estar em um dos dois modos: imposição e reclamação.

  

através da página wiki da equipe de segurança do Ubuntu

Assim, a imposição impõe quaisquer regras (para mais detalhes sobre isso, dê uma olhada aqui ) estão definidas e reclamam apenas logs tenta violar a política para o syslog (na maioria das vezes).

Alguns perfis suportados são:

• Copos (cupsd)
• MySQL (mysqld)
• Evince (visualizador de PDF no Ubuntu - ativado por padrão).
• Firefox (será desativado por padrão e será ativado para usuários avançados)
• Apache (servidor da Web, idem)
• e a lista continua, mas não o suficiente. A lista completa está aqui.

As exceções notáveis são:

• Chrom (ium) e. Embora eles tenham um perfil do AppArmor em seu wiki , não parece que alguém o use.
• Eu não vi empatia, pidgin ou transmissão nesta lista, ou qualquer coisa semelhante a eles.

Por último, alguém fez uma pergunta semelhante sobre um perfil de fallback para qualquer coisa que não esteja definida.

Mas a resposta é, por padrão, se um aplicativo não tiver um perfil no AppArmor, ele terá acesso a tudo - ele não será armazenado em sandbox.

No entanto, no 12.10 o Chrome será executado dentro de uma sandbox seccomp-bpf, que teve seus módulos portados da versão 3.5 do kernel do Linux para a série 3.2 que o 12.10 está usando pela Canonical.