(AppArmor) Permitir que um programa confinado execute outra segurança de ruína não confinada binária?

0

Recentemente, tentei conhecer o SELinux e o AppArmor e decidi usar o AppArmor por sua simplicidade. Comecei a escrever alguns perfis usando aa-genprof e aa-logprof, mas grandes programas como o firefox executam muitos outros binários e não tenho tempo para escrever um perfil para cada um deles. A única solução para isso parece ser deixar os outros binários serem executados sem confinar, mas estou preocupado que isso possa arruinar o ponto

Então, tudo bem deixar um programa confinado executar outro programa não confinado? Por exemplo, um invasor pode ter acesso a todos os privilégios que o novo processo não delimitado tem?

EDIT: Acabei de descobrir que, se eu usar apenas um perfil filho, não preciso escrever tudo, pois o perfil filho precisa apenas de permissão para as funções que o pai precisa.

EDIT: Eu também li um artigo que dizia que um dos perigos era se um script que fosse executado não tivesse a variável PATH definida, um invasor poderia apenas definir o PATH dentro de seu ambiente confinado e criar um script com o mesmo nome como o script necessário.

    
por Coding Guy 26.03.2018 / 16:54

0 respostas