É possível restringir um programa de ler qualquer coisa fora do que eles precisam?

Question

Eu entendo que executar programas como um usuário não raiz é feito para restringir os programas de escrever arquivos de sistema, o que impede que o malware comprometa a segurança do sistema.

Mas na maioria dos casos, esses programas ainda conseguem ler esses arquivos de sistema, embora não possam escrevê-los (ex. /etc/fstab ), o que deixa o sistema vulnerável a uma ampla variedade de spyware.

Então, é possível restringir os programas de uma forma mais draconiana para que eles não possam acessar nada fora de um ambiente definido? Por exemplo, eu poderia permitir que firefox usasse ~/.mozilla , ~/.cache/mozilla e ~/Downloads , mas firefox nunca conseguiria ler nada de /etc ou algo assim.

Existe tal recurso no Linux?

    

Answer 1

O método para restringir o acesso no Ubuntu é com o apparmor.

link

O Firefox vem com um perfil apparmor para o Firefox, que foi desenvolvido especificamente com segurança em mente.

como apontado por Rinzwind, o acesso ro não é necessariamente um problema de segurança.

Programas grandes, como o firefox, não são os melhores exemplos, pois o Firefox tem recursos bastante amplos, desde o acesso à rede até o acesso ao hardware.

Como você pode ver, o perfil do apparmor do firefox é bem grande. Você pode certamente modificar o perfil apparmor para suas necessidades / preocupações específicas, se assim o desejar. Só não se esqueça de salvar uma cópia do perfil original para que você possa restaurá-lo se você quebrar a funcionalidade do firefox.

Outros navegadores, como o cromo, são executados em uma sandbox.

Se você está particularmente interessado em segurança, você pode executar o Fedora com o selinux e executar aplicativos em uma caixa de areia selinux.

perfis apparmor estão disponíveis aqui

link

    

Answer 2

Sim, existe: ele é chamado de ambiente chroot (consulte link ).