AppArmor предназначен для защиты системы от нападений, пытающихся использовать уязвимости в приложениях, которые работают в данной системе. Угроза заключается в том, что нападающий может заставить уязвимую программу сделать что-либо непредсказуемое или нежелательное. AppArmor отвечает на эту угрозу, ограничивая доступ программы к ресурсам, предоставляя ей только минимально необходимые для ее нормального функционирования ресурсы, эффективно устанавливая для нее режим "наименьших привилегий".https://www.ibm.com/developerworks/ru/library/l-apparmor-1/https://www.ibm.com/developerworks/ru/library/l-apparmor-2/https://www.ibm.com/developerworks/ru/library/l-apparmor-3/>Он же приниципально не котролирует права на mount -bind. Получив возможность запускать код от рута, первым делом биндим /bin, /sbin и т.п. куда-нибудь в тихое местечко, и вуаля - вся система наша, что есть apparmor, что нет егоА вот и контроилирует: без capability sys_admin, mount --bind и pivot_root невозможны. >Если вы скопируете, например, утилиту ping из каталога /bin/ в каталог /usr/bin или переименуете ее в my_ping, то никакие ограничения AppArmor на нее действовать уже не будут – не будет профиля для «новой» программы.Во первых, не скопируем, потму что у пофили это обычно блокируют. Даже если скопируем - не запустим, так как на запуск право дается избранным файлам. Даже если запустим - запущенное приложение унаследует ограничения родительского профиля.>Распознавание приложений и, соответственно, определение их полномочий, производится по имени исполняемого файла. Именно этот момент очень часто выступает ключевым в критике AppArmor. Действительно, подменив имя исполняемого файла, злоумышленник может вывести приложение из-под контроля AppArmor. Самый простой пример — создание жесткой ссылки. Более сложный вариант — выполнение mount --bind или pivot_root.Хрен там раз: AppArmor контролирует создание ссылок, куда попало ссылку не кинешь. Хрен там два: без capability sys_admin, mount --bind и pivot_root невозможны.>Недостаток такого подхода заключается в том, что при создании жесткой символической ссылки приложение «уходит» из-под контроля системы безопасности.AppArmor это успешно контролирует через l, >В частности, TOMOYO, в отличие от AppArmor, позволяет контролировать права на операции mount --bind и pivot_rootВрёти, без capability sys_admin, ничего у вас не выйдет, а большинство профилей в этом разрешении не нуждаются (точнее не видел ни одгого такого профиля).>Даже простой tomoyo, при правильной настройке, может очень сильно обломать кайф таким ксакепам. А apparmor - нет, при всем желании. >Вообще, в случае локального/удаленного рута apparmor будет защищать не лучше пресловутого фИгового листика.Врёти, ваши доказательства не доказательства и разгромлены выше.В тред приглашаются критики, способные продемонстрировать реалистичные способы ухода от контроля AppArmor.Литература:http://securityblog.org/2006/04/19/security-anti-pattern-path-based-access-control/https://www.opennet.ru/opennews/art.shtml?num=27488 - скептики в каментах
>This means, for example, while a file that is inaccessible may become accessible under AppArmor when a hard link to it is createdСтавим на защищаемый файл иммунный бит - и каюк уязвимости.
Все обвинения высосаны из пальца. Оправдывайтесь, хейтеры.
bump
>>1996718рашка гавно)я крутой либирал)
>уязвимости>как с помощью AppArmor защитить от взлома свой Linux-компьютерНо ведь линакс создавался как многопользовательская система с прицелом на безопасность!!! В отличие от говняного виндоса!! Пользователи более подкованы в безопасности, а у виндоса эпидемии вирусов!!! ДАже контроль уетных зааписей можно обойти а вот у линукса судо запоминающее на несколько минут права - нельзя!!!
>>1996656 (OP)>этот дебил-аутистНахуй иди.
>>1997809+15>>1997870tolsto>>1997894pososi pisos
>>1997904запад говно, как и твоя МАНДАтное дерявое приложение для любителей срачельника-консолички.Не благодари, можешь просто уёбывать.
>>1996656 (OP)Сравни с SElinux и TOMOYO.
>>1998237Без сомнения, правильно сконфигурированный SELinux способен предоставить системе гораздо более высокий уровень защиты. А политикам MLS/MCS AppArmor не может противопоставить ровным счетом ничего. Да и разработчики не зря свои деньги получают – с каждым релизом политики SELinux поддерживают всё больше и больше приложений, а большинство проблем решаются тривиальными способами. Но при всех этих достоинствах у SELinux есть существенный недостаток – все его политики предлагаются конечному пользователю с посылом «товарищ, доверься нам – мы ведь профессионалы». И я, конечно, не вижу объективных причин не доверять разработчикам. Однако, понимание механизмов работы системы крайне важно, особенно, когда дело касается безопасности. В случае с AppArmor практически любой пользователь сможет не только самостоятельно написать (сгенерировать) профиль для любого приложения, но и понять, как это работает. А это очень важное преимущество. Для понимания SELinux придется на месяц-другой погрузиться в его увлекательный мир, и совсем не факт, что этого будет достаточно.
>>1998351Уноси свою коляску отсюда, маркетолог хуев.
>>1998237Ограничения TOMOYO Linux 2.xИмплементция TOMOYO Linux 2.x включена в основную ветку разработки ядра Linux, но всё еще не полна, но всё еще эффективна для управления доступом к файлам, но всё ещё не поддерживает следующие аспекты: атрибуты файлов и управление пространством имен. capabilities сеть. сигнал. переменные окружения. резервация порта.Однако аппармор сыроват, не имеет собственного лога (срет в kern.log),
>>1998351В первый раз вижу политику SElinux, и уже понял весь пиздец. Не просто так его сложным называют...
бамп
