apparmor.d

Ensemble complet de profils AppArmor

[!WARNING] Ce projet est encore en début de développement. L'aide est la bienvenue ; voir le site de documentation incluant sa section développement.

Description

AppArmor.d est un ensemble de plus de 1500 profils AppArmor dont le but est de confiner la plupart des applications et processus basés sur Linux.

Objectif

• Confiner tous les processus root tels que tous les outils systemd, bluetooth, dbus, polkit, NetworkManager, OpenVPN, GDM, rtkit, colord
• Confiner tous les environnements de bureau
• Confiner tous les services utilisateur tels que Pipewire, Gvfsd, dbus, xdg, xwayland
• Confiner certaines applications utilisateur "spéciales" : navigateurs web, gestionnaires de fichiers, etc.

Objectifs

• Cibler à la fois les bureaux et les serveurs
• Prendre en charge toutes les distributions qui supportent AppArmor :
  • Arch Linux
  • Ubuntu 24.04/22.04
  • Debian 12
  • OpenSUSE Tumbleweed
• Prise en charge de tous les environnements de bureau majeurs :
  • Gnome (GDM)
  • KDE (SDDM)
  • XFCE (Lightdm) (travail en cours)
• Entièrement testé

Démo

Si vous voulez essayer ce projet, ou si vous êtes curieux de l'utilisation avancée et de la sécurité qu'il peut fournir sans l'installer sur votre machine, vous pouvez l'essayer en ligne sur ma machine AppArmor play à l'adresse https://play.pujol.io/

Ce projet est à l'origine basé sur le travail de Morfikov et vise à l'étendre à davantage de distributions Linux et d'environnements de bureau.

Concepts

Il y a plus de 50000 paquets Linux et encore plus d'applications. Il n'est tout simplement pas possible d'écrire un profil AppArmor pour chacun d'eux. Par conséquent, une question se pose :

Que confiner et pourquoi ?

Nous nous inspirons du Modèle de Sécurité Android/ChromeOS et nous l'appliquons au monde Linux. Les distributions de sécurité Linux modernes considèrent généralement une image de base immuable avec un ensemble d'applications soigneusement sélectionnées. Tout le reste devrait être sandboxé. Par conséquent, ce projet essaie de confiner toutes les applications centrales que l'on trouve habituellement dans un système Linux : tous les services systemd, Xwayland, réseau, Bluetooth, votre environnement de bureau... Les applications utilisateur non centrales sont hors de portée car elles devraient être sandboxées à l'aide d'un outil dédié (minijail, bubblewrap, toolbox...).

Ceci est fondamentalement différent de la façon dont AppArmor est habituellement utilisé sur les serveurs Linux où il est courant de confiner uniquement les applications qui font face à Internet et/ou aux utilisateurs.

Présentations

Building the largest set of AppArmor profiles:

• Linux Security Summit North America (LSS-NA 2023) (Diapositive, Vidéo)
• Ubuntu Summit 2023 (Diapositive, Vidéo)

Lessons learned while making an AppArmor Play machine:

• Linux Security Summit North America (LSS-NA 2025) (Diapositive, Vidéo)

Installation

Veuillez consulter apparmor.pujol.io/install

Configuration

Veuillez consulter apparmor.pujol.io/configuration

Utilisation

Veuillez consulter apparmor.pujol.io/usage

Contribution

Les retours, contributeurs, pull requests sont tous les bienvenus. Veuillez lire apparmor.pujol.io/development pour plus de détails sur le processus de contribution.

Chat de développement disponible sur https://matrix.to/#/#apparmor.d:matrix.org

Licence

Ce projet était initialement basé sur le projet de profils apparmor de Mikhail Morfikov et a donc la même licence (GPL2).