Recentemente, tentei conhecer o SELinux e o AppArmor e decidi usar o AppArmor por sua simplicidade. Comecei a escrever alguns perfis usando aa-genprof e aa-logprof, mas grandes programas como o firefox executam muitos outros binários e não tenho tempo para escrever um perfil para cada um deles. A única solução para isso parece ser deixar os outros binários serem executados sem confinar, mas estou preocupado que isso possa arruinar o ponto
Então, tudo bem deixar um programa confinado executar outro programa não confinado? Por exemplo, um invasor pode ter acesso a todos os privilégios que o novo processo não delimitado tem?
EDIT: Acabei de descobrir que, se eu usar apenas um perfil filho, não preciso escrever tudo, pois o perfil filho precisa apenas de permissão para as funções que o pai precisa.
EDIT: Eu também li um artigo que dizia que um dos perigos era se um script que fosse executado não tivesse a variável PATH definida, um invasor poderia apenas definir o PATH dentro de seu ambiente confinado e criar um script com o mesmo nome como o script necessário.