Was ist AppArmor und wie hält es Ubuntu sicher?

AppArmor ist eine wichtige Sicherheitsfunktion, die seit Ubuntu 7.10 standardmäßig in Ubuntu enthalten ist. Es läuft jedoch unbemerkt im Hintergrund, sodass Sie möglicherweise nicht wissen, was es ist und was es tut.

AppArmor sperrt anfällige Prozesse und schränkt die Sicherheitslücken in diesen Prozessen ein. AppArmor kann auch verwendet werden, um Mozilla Firefox für erhöhte Sicherheit zu sperren, dies geschieht jedoch standardmäßig nicht.

Was ist AppArmor??

AppArmor ähnelt SELinux und wird standardmäßig in Fedora und Red Hat verwendet. Während sie unterschiedlich arbeiten, bieten sowohl AppArmor als auch SELinux Sicherheit für die obligatorische Zugriffskontrolle (MAC). Tatsächlich ermöglicht AppArmor den Entwicklern von Ubuntu, die durchzuführenden Aktionen einzuschränken.

Eine Anwendung, die in der Standardkonfiguration von Ubuntu eingeschränkt ist, ist beispielsweise der Evince PDF-Viewer. Evince kann zwar als Ihr Benutzerkonto ausgeführt werden, kann jedoch nur bestimmte Aktionen ausführen. Evince verfügt nur über ein Minimum an Berechtigungen, um PDF-Dokumente auszuführen und zu bearbeiten. Wenn im PDF-Renderer von Evince eine Sicherheitslücke entdeckt wurde und Sie ein schädliches PDF-Dokument geöffnet haben, das Evince übernommen hat, würde AppArmor den Schaden einschränken, den Evince anrichten könnte. Im traditionellen Linux-Sicherheitsmodell hat Evince Zugriff auf alles, worauf Sie Zugriff haben. Mit AppArmor hat es nur Zugriff auf Dinge, auf die ein PDF-Viewer zugreifen muss.

AppArmor ist besonders nützlich, um Software einzuschränken, die möglicherweise ausgenutzt wird, z. B. ein Webbrowser oder Serversoftware.

Anzeigen des Status von AppArmor

Führen Sie den folgenden Befehl in einem Terminal aus, um den Status von AppArmor anzuzeigen:

sudo apparmor_status

Sie sehen, ob AppArmor auf Ihrem System (standardmäßig ausgeführt) ausgeführt wird, welche AppArmor-Profile installiert sind und welche begrenzten Prozesse ausgeführt werden.

AppArmor-Profile

In AppArmor sind Prozesse durch Profile eingeschränkt. Die obige Liste zeigt uns die Protokolle, die auf dem System installiert sind - diese werden mit Ubuntu ausgeliefert. Sie können auch andere Profile installieren, indem Sie das Paket apparmor-profiles installieren. Einige Pakete - zum Beispiel Server-Software - können mit eigenen AppArmor-Profilen geliefert werden, die zusammen mit dem Paket auf dem System installiert sind. Sie können auch eigene AppArmor-Profile erstellen, um die Software einzuschränken.

Profile können im „Beschwerde-Modus“ oder „Erzwingungsmodus“ ausgeführt werden. Im Erzwingungsmodus: Die Standardeinstellung für die mit Ubuntu gelieferten Profile - AppArmor verhindert, dass Anwendungen eingeschränkte Aktionen ausführen. Im Reklamationsmodus ermöglicht AppArmor den Anwendungen, eingeschränkte Aktionen auszuführen, und erstellt einen Protokolleintrag, der sich darüber beschwert. Der Beschwerdungsmodus ist ideal, um ein AppArmor-Profil zu testen, bevor Sie es im Durchsetzungsmodus aktivieren. Sie werden alle Fehler sehen, die im Durchsetzungsmodus auftreten würden.

Profile werden im Verzeichnis /etc/apparmor.d gespeichert. Diese Profile sind reine Textdateien, die Kommentare enthalten können.

Aktivieren von AppArmor für Firefox

Möglicherweise stellen Sie auch fest, dass AppArmor ein Firefox-Profil enthält - es ist das usr.bin.firefox Datei in der /etc/apparmor.d Verzeichnis. Es ist nicht standardmäßig aktiviert, da es Firefox zu stark einschränken und Probleme verursachen kann. Das /etc/apparmor.d/disable Der Ordner enthält einen Link zu dieser Datei, der darauf hinweist, dass sie deaktiviert ist.

Führen Sie die folgenden Befehle aus, um das Firefox-Profil zu aktivieren und Firefox mit AppArmor zu beschränken:

sudo rm /etc/apparmor.d/disable/usr.bin.firefox

cat /etc/apparmor.d/usr.bin.firefox | sudo apparmor_parser -a

Nachdem Sie diese Befehle ausgeführt haben, führen Sie die aus sudo apparmor_status Befehl erneut und Sie werden sehen, dass die Firefox-Profile jetzt geladen sind.

Führen Sie die folgenden Befehle aus, um das Firefox-Profil bei Problemen zu deaktivieren:

Sudan ls -s /etc/apparmor.d/usr.bin.firefox /etc/apparmor.d/disable/

sudo apparmor_parser -R /etc/apparmor.d/usr.bin.firefox

Ausführliche Informationen zur Verwendung von AppArmor finden Sie auf der offiziellen Seite des Ubuntu Server Guide zu AppArmor.