apparmor.d

Set completo di profili AppArmor

[!WARNING] Questo progetto è ancora in fase di sviluppo iniziale. L'aiuto è benvenuto; consulta il sito di documentazione inclusa la sua sezione sviluppo.

Descrizione

AppArmor.d è un insieme di oltre 1500 profili AppArmor il cui scopo è confinare la maggior parte delle applicazioni e dei processi basati su Linux.

Scopo

• Confinare tutti i processi di root come tutti gli strumenti systemd, bluetooth, dbus, polkit, NetworkManager, OpenVPN, GDM, rtkit, colord
• Confinare tutti gli ambienti desktop
• Confinare tutti i servizi utente come Pipewire, Gvfsd, dbus, xdg, xwayland
• Confinare alcune applicazioni utente "speciali": browser web, gestori di file, ecc.
• Non dovrebbe rompere l'uso normale del software confinato

Obiettivi

• Destinato sia a desktop che a server
• Supportare tutte le distribuzioni che supportano AppArmor:
  • Arch Linux
  • Ubuntu 24.04/22.04
  • Debian 12
  • OpenSUSE Tumbleweed
• Supporto per tutti i principali ambienti desktop:
  • Gnome (GDM)
  • KDE (SDDM)
  • XFCE (Lightdm) (lavori in corso)
• Completamente testato

Demo

Se vuoi provare questo progetto, o sei curioso riguardo all'uso avanzato e alla sicurezza che può fornire senza installarlo sulla tua macchina, puoi provarlo online sulla mia macchina di prova AppArmor su https://play.pujol.io/

Questo progetto è originariamente basato sul lavoro di Morfikov e mira a estenderlo a più distribuzioni Linux e ambienti desktop.

Concetti

Ci sono oltre 50000 pacchetti Linux e ancora più applicazioni. Semplicemente non è possibile scrivere un profilo AppArmor per tutti loro. Pertanto, sorge una domanda:

Cosa confinare e perché?

Prendiamo ispirazione dal Modello di Sicurezza Android/ChromeOS e lo applichiamo al mondo Linux. Le distribuzioni Linux di sicurezza moderne considerano solitamente un'immagine di base immutabile con un insieme accuratamente selezionato di applicazioni. Tutto il resto dovrebbe essere sandboxato. Pertanto, questo progetto cerca di confinare tutte le applicazioni core che si trovano solitamente in un sistema Linux: tutti i servizi systemd, Xwayland, rete, Bluetooth, il tuo ambiente desktop... Le applicazioni utente non core sono fuori scopo poiché dovrebbero essere sandboxate utilizzando uno strumento dedicato (minijail, bubblewrap, toolbox...).

Presentazioni

Building the largest set of AppArmor profiles:

• Linux Security Summit North America (LSS-NA 2023) (Slide, Video)
• Ubuntu Summit 2023 (Slide, Video)

Lessons learned while making an AppArmor Play machine:

• Linux Security Summit North America (LSS-NA 2025) (Slide, Video)

Installazione

Vedi apparmor.pujol.io/install

Configurazione

Vedi apparmor.pujol.io/configuration

Utilizzo

Vedi apparmor.pujol.io/usage

Contribuzione

Feedback, contributori, pull request sono tutti molto benvenuti. Leggi apparmor.pujol.io/development per maggiori dettagli sul processo di contribuzione.

Chat di sviluppo disponibile su https://matrix.to/#/#apparmor.d:matrix.org

Licenza

Questo progetto è stato inizialmente basato sul progetto profili apparmor di Mikhail Morfikov e quindi ha la stessa licenza (GPL2).