Forum Debian Users Gang

Możesz zawsze użyć AppArmora i obciąć profilem dla Iceweasela by miał dostęp np. tylko do swojego katalogu z configiem i ~/Downloads.

https://wiki.debian.org/AppArmor/HowToUse

Mnie najbardziej wnerwiają te dodatki typu przeglądarka pdf, bo gdyby jej nie było, to:

Mozilla products that don’t contain the PDF Viewer, such as Firefox for Android, are not vulnerable.

Ja kiedyś próbowałem wyłączyć ten wbudowany pdf z ff ale pisali, że się nie da. Tam niby są obejścia typu: https://support.mozilla.org/en-US/kb/disable-built- … nother-viewer ale to chyba nie jest wyłączenie kompletne tego syfu. Ale znowu na http://lwn.net/Articles/653823/ jest ciekawa opcja wskazana: pdfjs.disabled — przestawić to na true i zostawić. xD

Czy aby na pewno ci tego pdfa nie pobiera, ja wiem, gdzieś do cache? xD Po drugie, ja mam ustawiony zewnętrzny program i po kliknięciu w link do pdfa on się automatycznie pobiera i po chwili widzę pdfa załadowanego. Nie muszę nic dodatkowego robić. Sam plik jest zapisywany w /tmp/ , który jest czyszczony co 2h z plików nieużywanych — po 2h zostanie automatycznie usunięty. Ja jednak jestem za wyłączeniem tej wbudowanej przeglądarki.

Ciekawe czy ten katalog idzie dostosować, na wypadek gdyby ktoś chciał kolekcjonować wszystkie otwierane z sieci pdfy (i pewnie pozostałe pliki również). — tu jest info jak zmienić położenie katalogu — w skrócie to wystarczy wyeksportować jedną z tych zmiennych TMPDIR, TMP albo TEMP.

Ostatnio edytowany przez morfik (2015-08-08 16:34:25)

U mnie:

EDIT: Poprawione profile - do Firefoxa 40 (plugin-contaner walił Segfaulty, jak nie mógł zajrzeć do   /sys/devices/**/config,
)
Firefox:  http://wklej.dug.net.pl/5030
Plugin-container: http://wklej.dug.net.pl/5031

SOA#1

Poza tym wyłączyłem przeglądarkę PDF w about:config, wszystkie PDFy FF otwiera od zawsze w Atrillu lub Evince, które mają zrobione podobne profile.

Ostatnio edytowany przez Jacekalex (2015-08-17 18:43:29)

a te dodatkowe profile, to gdzie wrzuciliście ?
do

/etc/apparmor.d/abstractions/

czy w inne miejsce

Dzięki za odpowiedzi i profile do AA. A kojarzycie może ten firejail?

morfik napisał(-a):

Póki co przechodzę bardzo szybki kurs obsługi apparmora i może wieczorem przepiszę te profile.

Jak będziesz miał już gotowe to udostępnij

Ostatnio edytowany przez arturek (2015-08-08 19:53:03)

@morfik - a właściwie dlaczego nie użyć standardowego profilu do Firefoksa (/etc/appardomr.d/usr.bin.firefox)?

Ostatnio edytowany przez iacobus (2015-08-08 21:39:51)

Ech, edytowałem mój post - w którym sprecyzowałem o co mi chodzi, w czasie gdy Ty napisałeś swój post z pytaniem :-)
chodzi mi o profil z paczki apparmor-profiles albo apparmor-profiles-extra (nie pamiętam). Mam go w /etc/apparmod.d/usr.bin.firefox
Wydaje mi się, że lepszy taki niż żaden. Swoją drogą to dziwne, że tak podatna na ataki aplikacja nie jest domyślnie otoczona opieką AA...

Ostatnio edytowany przez iacobus (2015-08-08 21:44:12)

2124

Ostatnio edytowany przez uzytkownikubunt (2016-12-01 01:21:51)

@Jacekalex , te dwa osobne profile są potrzebne? Bo z tego co zauważyłem, to jeśli włączę flasha, to aa-status zwraca:

3 processes are in enforce mode.
   /opt/firefox/firefox (111276)
   /opt/firefox/firefox (111425)
   /usr/sbin/dnscrypt-proxy (1598)

Zatem są dwa procesy firefoxa. jeśli wyłączę odtwarzanie flasha, to wtedy będzie jeden proces.

Stworzyłem niby osobny profil na plugin-container ale najwyraźniej nie jest on brany w ogóle pod uwagę. Generalnie to na początku nie mogłem korzystać z flasha w ogóle. Dopiero po dodaniu do profilu firefoxa tych linijek poniżej:

    # Firefox plugins
    #/usr/lib/mozilla/plugins/** mr,
    /usr/lib/mozilla/plugins/libfreshwrapper-pepperflash.so mr,
    #/usr/lib/mozilla/plugins/flash-mozilla.so mr,
    /usr/lib/mozilla/plugins/libvlcplugin.so mr,
    /opt/google/chrome/PepperFlash/libpepflashplayer.so mr,
    /opt/google/chrome/PepperFlash/manifest.json r,

Szło coś załadować.

Oczywiście póki co bawię się samym ff i próbuję określić wszystkie pliki, z których chce on korzystać i dopiero po tym procesie odhaczyć te zbędne ale na dobrą sprawę, to każdy może sobie wyprofilować dowolne aplikacje bez większego problemu, bo do apparmora jest dołączone narzędzie aa-genprof i wystarczy wskazać plik, czyli w tym przypadku /opt/firefox/firefox , po czym odpalić sobie firefoxa i połazić po menu, stronach, to co zwykle się robi na co dzień. Wszystkie żądania dostępu do plików zostaną zalogowane i na podstawie tego będzie budowany profil interaktywnie, tj. będziemy pytani czy chcemy zezwolić na dostęp. Choć to jest w oparciu o /var/log/syslog i na systemd nie ma tego pliku, przynajmniej u mnie, i musiałem przekierować sobie journal. xD Inny problem jest taki, że to narzędzie nie podstawia zmiennych i trzeba to robić samemu po zakończeniu profilowania. No i oczywiście problematyczne może być określenie czy aplikacja ma mieć dostęp do danego pliku.

No tak tylko, że nawet jak ja stworze ten profil dla plugin-container i odpalę flasha, to mi ten profil nie działa w ogóle. xD Zamiast niego jest ładowany ten od firefoxa i są generalnie wylistowane dwa tak jak to widać wyżej.

Ok, już wiem gdzie jest problem -- brakowało wywołania:

    @{MOZ_LIBDIR}/plugin-container pux,

Teraz już są osobno:

3 processes have profiles defined.
2 processes are in enforce mode.
   /opt/firefox/firefox (79088)
   /usr/sbin/dnscrypt-proxy (1598)
1 processes are in complain mode.
   /opt/firefox/plugin-container (79262)

Tylko taka sprawa, ty tam masz PUx, a u mnie na tym flash kompletnie nie rusza.

Ostatnio edytowany przez morfik (2015-08-10 18:56:02)