Безопасный Linux : Часть первая. AppArmor – песочница для приложений

как нельзя вовремя, в то время как почти везде от AppArmor уже отказались
даже в OpenSuse, которая там приводится в примерах

кстати, а почему отказались?

Разработчик ушел в microsoft

и никто не подхватил знамя? O_o

>в то время как почти везде от AppArmor уже отказались
Ubuntu, openSUSE, SLE.
>даже в OpenSuse
Пруф?
SELinux добавили как опциональную возможность.

Блин, новость уже и тут, везде уже разосрали

debian lenny

# aptitude search ~dAppArmor
#

AppArmor не нужен. Обновил убунту из-за него перестал запускаться MySQL

Контейнеры Solaris куда совершеннее. Если сравнивать SELINUX/APPARMOR и то что мы видим в настоящем UNIX, то сразу становится понятно - о местах со сверхсекурностью линуксу не бывать еще как минимум десятилетие, а как максимум до конца своих дней.

Нет я конечно не исключаю что кто-нибудь возьмется создавать прямой порт контейнеров solaris под свободной лицензией, но сегодня это даже звучит смешно.

> Нет я конечно не исключаю что кто-нибудь возьмется создавать прямой порт контейнеров solaris под свободной лицензией, но сегодня это даже звучит смешно.

o.0 ты ничего не попутал ?

Уважаемый Texman,
вы больны. у вас бред.

Вы видите бред там где его нет. Мания?

Я лишь хотел сказать что вся эта связка "защиты" которой сегодня обвешивают linux(будь-то xen, selinux) никогда не будет смотреться так элегантно как зоны реализованные в solaris.

>вы больны. вы тролль.

поправил

Так речь об элегантности или о защищённости?

А что в мире GNU/Linux принято выбирать между двумя критическими понятиями? Насколько я знаю нет. Иначе и графические среды в linux были бы представлены в единственном числе. Однако благодаря тому что механизмы защиты в solaris/bsd заранее разрабатываются так чтобы дополнять друг друга, а в Linux кое-как, мы не можем наблюдать здесь хорошей слаженности.

>поправил
не, если бы он про RBAC сказал - тогда да, троль, а про "уникальность" солярных зон, ну какой же это троль...

Клоун, открой для себя Solaris Security Toolkit

> вся эта связка "защиты" которой сегодня обвешивают linux(будь-то xen, selinux)

> xen

Чоооооо?! O_O

>AppArmor не нужен. Обновил убунту из-за него перестал запускаться MySQL

Хотел было написать "а причём здесь apparmor", но увидел серую звезду и передумал :)

Где контейнеры, а где мандатная модель контроля доступа. И эта, man OpenVZ.

IMHO - chroot + selinux достаточно для паранойи и волосы остаются шелковистыми

p.s. другое дело, что selinux плохо относится к неосиляторам и они ему ставят хорошо если permissive, про mls (Multi Level Security protection) молчу...

p.p.s для не Ъ про mls на русском - http://www.linuxshare.ru/docs/security/selinux/selinux2.html

> Обновил убунту из-за него перестал запускаться MySQL

С какой до какой версии, если не секрет?

А вообще:

sudo aa-complain /path/to/mysqld

при условии, что пакет apparmor-utils установлен.

А вообще очень хорошо читать README-файлы:

* APPARMOR PROFILE
==================
If your system uses apparmor, please note that the shipped enforcing profile works with the default installation, and changes in your configuration may require changes to the installed apparmor profile. Please see https://wiki.ubuntu.com/DebuggingApparmor before filing a bug against this software.

>Хотел было написать "а причём здесь apparmor", но увидел серую звезду и передумал :) Ну какбэ там в пакете есть профиль apparmor. Надо разбираться почему в конкретном случае вызвало проблему. Обычно достаточно профиль программы подправить. И, кстати, Apparmor is not discontinued. It is being actively developed, is close to being in the upstream kernel and is supported by Ubuntu. (https://bugs.launchpad.net/ubuntu/+source/mysql-dfsg-5.0/+bug/306541 )

> С какой до какой версии, если не секрет?

9.10 просто поставил апдейты.

> при условии, что пакет apparmor-utils установлен.

уже нет, оно мне не нужно.

9.10 только в будущем, не нужно на бета версии жаловаться ;-) Хотя сам использую Karmic :-)

> кстати, Apparmor is not discontinued. It is being actively developed, is close to being in the upstream kernel and is supported by Ubuntu

Только этот коммент был написан в марте, но с тех пор ничего собственно говоря не изменилось :). AppArmor даже 2.6.29 еще не подерживает. А уже 2.6.31 на дворе...

Где взять готовый базовый конфиг для защиты виртхостинга?

> AppArmor даже 2.6.29 еще не подерживает. А уже 2.6.31 на дворе...

Стоит Ubuntu Karmic с 2.6.31, AppArmor 2.3.1+1403-0ubuntu13, все работает. Что не так?

> Где взять готовый базовый конфиг для защиты виртхостинга?

AppArmor «защищает» приложения, для которых имеются профили. То есть фактически Вам нужно создать профили для всех выполняющихся на сервере приложений.

Базовые профили устанавливаются пакетом apparmor-profiles. Для их настройки поможет aa-genprof/aa-logprof.

> Только этот коммент был написан в марте, но с тех пор ничего собственно говоря не изменилось :). AppArmor даже 2.6.29 еще не подерживает. А уже 2.6.31 на дворе...

И тем не менее, к моменту выхода ubuntu 9.04 все работало. Судя по всему, в 9.10 все тоже будет работать.

> не нужно на бета версии жаловаться

9.10 это, емнип, даже еще и не бета а альфа.