Comment utiliser AppArmor sur Debian ?

Tyrpio · 24-06-2015 14:21:24

Bonjour tout le Monde

J'aimerais bien sécuriser ma Debian, j'aimerais donc utiliser AppArmor sur Debian. Mais je ne le connais pas beaucoup alors j'ai plusieurs questions :
Comment mettre Iceweasel en mode enforce ?
(parce que avec cette commande ça ne marche pas : sudo aa-enforce iceweasel) J'ai ce message d'erreur : Profile for /usr/lib/iceweasel/iceweasel not found, skipping
Une idée ?

Sinon quand je marque ça : sudo apparmor_status
J'ai aussi un message d'erreur :
apparmor module is loaded.
apparmor filesystem is not mounted.

En gros je ne sais pas l'utiliser et j'aimerais bien qu'on m'éclaire là dessus, merci pour celui ou ceux qui se lancent !

Dernière modification par Tyrpio (22-12-2015 11:54:11)

sogal · 24-06-2015 14:32:46

Salut,
Question intéressante, voici déjà un début de réponse :
How To Use AppArmor -Debian Wiki
Je pense que dans ton cas certains paquets de profils ou autre sont à installer au préalable.

Tyrpio · 24-06-2015 21:19:38

Merci sogal pour la réponse, mais comment installer les paquet de profil...
Enfin j'ai besoin d'un plus gros coup de pouce parce que là je ne m'en sort pas du tout

Dernière modification par Tyrpio (24-06-2015 21:20:25)

sogal · 25-06-2015 08:37:57

Tyrpio a écrit :

Merci sogal pour la réponse, mais comment installer les paquet de profil...

apt-get install apparmor-profiles apparmor-profiles-extra

Je ne l'utilise pas donc je ne pourrais t'en dire plus là de suite mais déjà si tu suis les indications du wiki Debian et que tu installes les profils, ça devrait te faire un bon début.

Tyrpio · 25-06-2015 15:06:02

Ça va déjà mieux mais je ne sais pas si j'ai vraiment mis Iceweasel en mode enforce.
Voilà ce que j'ai fait :

sudo aa-status | grep iceweasel

puis j'ai tapé :

sudo aa-enforce /etc/apparmor.d/usr.bin.iceweasel

J'ai eu ce message : "/etc/apparmor.d/usr.bin.iceweasel does not exist, please double-check the path."
et pour finir :

sudo aa-status | grep iceweasel

Est-ce que j'ai mit Iceweasel en mode enforce ?
Si ce n'est pas le cas je fais quoi ?

Dernière modification par Tyrpio (25-06-2015 15:08:46)

anonyme · 26-06-2015 01:21:25

j'ai tenté une install https://debian-facile.org/viewtopic.php?id=10538

si ça peu t aider

en autre j ai abandonné parce que iceweasel ne pouvait joindre aucun site

il faut ajuster les regles en fonction de tes besoins (et comme j ai une installation un peu speciale , passerelle dns dhcp etc a priori j avais beaucoup de boulot )

Tyrpio · 27-06-2015 02:28:59

anonyme a écrit :

si ça peu t aider

Oui ça peut m'aider mais il me faut toujours plus de précision, c'est déjà un bon début

anonyme · 28-06-2015 07:33:16

moi je me pose la question , selinux ou apparmor en sachant que selinux est intégré au noyau déja.

pour selinux a l epoque il me manquai le policy , qu il fallait recuperer sur le site de selinux.

j en suis resté la , il faudrait que je reprenne cet affaire avec stretch

apres c est un travail sur les scripts , pour selinux c est bien detaillé sur les cahiers de l admin wheezy en fr (page 425)

(apparmor je pense que toute la doc est en anglais.

Tyrpio · 28-06-2015 13:46:41

Merci encore anonyme, si il y a ici des habitués de apparmor venez ahahah, j'ai vraiment envie d'utiliser cette formidable outil !

anonyme · 28-06-2015 14:21:01

bonnes chances => https://wiki.debian.org/AppArmor

tu a les principaux liens , de l installation debian et meme le site d' apparmor , quand il est actif aprés c est un travail personnel pour affiner les regles (ou en créer ) .

Tyrpio · 28-06-2015 22:40:19

Ok je met en résolu mais ça à l'air chaud, je me concentre déjà sur la programmation, ensuite le terminal et enfin on verra pour Apparmor. Thanks

anonyme · 29-06-2015 01:25:44

j'ai installé selinux sur une machine de bureau , pas trop le temps de bosser dessus pour l instant , mais j essaierai de le configurer , a priori les dépendances sont satisfaites sur stretch. (a ce propos l aspect de l invite du logging et le bureau a change il me semble

)

dire au noyau que selinux est actif et lancer la procédure .
quand je me lance j irai compléter mon post selinux

Tyrpio · 29-06-2015 11:35:31

anonyme a écrit :

quand je me lance j irai compléter mon post selinux

C'est cool

kawer · 09-12-2015 16:21:40

par défault il n'y a pas de profil pour iceweasel, il faut en récupérer un sur git ou faire son propre profil puis le mettre dans /etc/apparmor.d et après lancer aa-enforce iceweasel.

J'ai récupéré le profil ici et fait juste une modification pour que iceweasel puisse écrire dans le dossier Téléchargements au lieu de Downloads, ce qui donne :

# vim:syntax=apparmor

# Author: Jamie Strandboge <jamie@canonical.com>

# Declare an apparmor variable to help with overrides

@{MOZ_LIBDIR}=/@MOZ_LIBDIR@

#include <tunables/global>

# We want to confine the binaries that match:

#  /@MOZ_LIBDIR@/@MOZ_APP_NAME@

#  /@MOZ_LIBDIR@/iceweasel

# but not:

#  /@MOZ_LIBDIR@/iceweasel.sh

/usr/lib/iceweasel/iceweasel {

  #include <abstractions/audio>

  #include <abstractions/cups-client>

  #include <abstractions/dbus-session>

  #include <abstractions/gnome>

  #include <abstractions/nameservice>

  #include <abstractions/p11-kit>

  # Addons

  /usr/share/xul-ext/** r,

  # for networking

  network inet stream,

  network inet6 stream,

  @{PROC}/[0-9]*/net/if_inet6 r,

  @{PROC}/[0-9]*/net/ipv6_route r,

  @{PROC}/[0-9]*/net/dev r,

  @{PROC}/[0-9]*/net/wireless r,

  # should maybe be in abstractions

  /usr/lib/iceweasel/iceweasel ixr,

  /etc/ r,

  /etc/mime.types r,

  /etc/mailcap r,

  /etc/xdg/*buntu/applications/defaults.list    r, # for all derivatives

  /usr/share/xubuntu/applications/defaults.list r,

  owner @{HOME}/.local/share/applications/defaults.list r,

  owner @{HOME}/.local/share/applications/mimeapps.list r,

  owner @{HOME}/.local/share/applications/mimeinfo.cache r,

  owner @{HOME}/.gstreamer*/{,**} rw,

  owner /tmp/** m,

  owner /var/tmp/** m,

  /tmp/.X[0-9]*-lock r,

  /etc/timezone r,

  /etc/wildmidi/wildmidi.cfg r,

  # iceweasel specific

  /etc/iceweasel*/ r,

  /etc/iceweasel*/** r,

  /etc/xul-ext/** r,

  /etc/xulrunner-2.0*/ r,

  /etc/xulrunner-2.0*/** r,

  /etc/gre.d/ r,

  /etc/gre.d/* r,

  # noisy

  deny @{MOZ_LIBDIR}/** w,

  deny /@MOZ_ADDONDIR@/** w,

  deny /usr/lib/xulrunner-addons/** w,

  deny /usr/lib/xulrunner-*/components/*.tmp w,

  deny /.suspended r,

  deny /boot/initrd.img* r,

  deny /boot/vmlinuz* r,

  deny /var/cache/fontconfig/ w,

  deny @{HOME}/.local/share/recently-used.xbel r,

  # TODO: investigate

  deny /usr/bin/gconftool-2 x,

  # These are needed when a new user starts iceweasel and iceweasel.sh is used

  @{MOZ_LIBDIR}/** ixr,

  /usr/bin/basename ixr,

  /usr/bin/dirname ixr,

  /usr/bin/pwd ixr,

  /sbin/killall5 ixr,

  /bin/which ixr,

  /usr/bin/tr ixr,

  @{PROC}/ r,

  @{PROC}/[0-9]*/cmdline r,

  @{PROC}/[0-9]*/mountinfo r,

  @{PROC}/[0-9]*/stat r,

  owner @{PROC}/[0-9]*/task/[0-9]*/stat r,

  @{PROC}/[0-9]*/status r,

  @{PROC}/filesystems r,

  owner @{HOME}/.thumbnails/*/*.png r,

  /etc/mtab r,

  /etc/fstab r,

  # Needed for the crash reporter

  owner @{PROC}/[0-9]*/environ r,

  owner @{PROC}/[0-9]*/auxv r,

  /etc/lsb-release r,

  /usr/bin/expr ix,

  /sys/devices/system/cpu/ r,

  /sys/devices/system/cpu/** r,

  # about:memory

  owner @{PROC}/[0-9]*/statm r,

  owner @{PROC}/[0-9]*/smaps r,

  # Needed for container to work in xul builds

  /usr/lib/xulrunner{,-*}/** ixr,

  # allow access to documentation and other files the user may want to look

  # at in /usr and /opt

  /usr/lib/{,**} rm,

  /usr/share/iceweasel/{,**} r,

  /usr/share/mozilla/{,**} r,

  /usr/{local/,}share/glib-2.0/{,**} r,

  /usr/share/xulrunner{,-*}/{,**} r,

  /usr/share/mime/{,**} r,

  /usr/share/gstreamer*/{,**} r,

  /usr/share/hunspell/{,**} r,

  # so browsing directories works

  # Default profile allows downloads to ~/Downloads and uploads from ~/Public

  owner @{HOME}/Téléchargements/ r,

  owner @{HOME}/Téléchargements/** rwk,

  # per-user iceweasel configuration

  owner @{HOME}/.cache/{iceweasel,mozilla}/{,**} rw,

  owner @{HOME}/.cache/dconf/user rw,

  owner @{HOME}/.cache/dconf/ rw,

  owner @{HOME}/.config/dconf/user r,

  owner @{HOME}/.{iceweasel,mozilla}/ rw,

  owner @{HOME}/.{iceweasel,mozilla}/** rw,

  owner @{HOME}/.{iceweasel,mozilla}/**/*.{db,parentlock,sqlite}* k,

  owner @{HOME}/.{iceweasel,mozilla}/plugins/** rm,

  owner @{HOME}/.{iceweasel,mozilla}/**/plugins/** rm,

  owner @{HOME}/.config/ibus/bus/ w,

  owner @{HOME}/.gnome2/iceweasel*-bin-* rw,

  #

  # Extensions

  # /usr/share/.../extensions/... is already covered by '/usr/** r', above.

  # Allow 'x' for downloaded extensions, but inherit policy for safety

  owner @{HOME}/.mozilla/**/extensions/** mixr,

  deny @{MOZ_LIBDIR}/update.test w,

  deny /usr/lib/mozilla/extensions/**/ w,

  deny /usr/lib/xulrunner-addons/extensions/**/ w,

  deny /usr/share/mozilla/extensions/**/ w,

  deny /usr/share/mozilla/ w,

  # Miscellaneous (to be abstracted)

  # Ideally these would use a child profile. They are all ELF executables

  # so running with 'Ux', while not ideal, is ok because we will at least

  # benefit from glibc's secure execute.

  /usr/bin/mkfifo Uxr,  # investigate

  /bin/ps Uxr,

  /bin/uname Uxr,

  # Site-specific additions and overrides. See local/README for details.

}

kawer, aka Rédempteur de topik

Dernière modification par kawer (09-12-2015 16:25:00)

Tyrpio · 22-12-2015 10:45:44

Merci kawer mais je ne sais pas trop, ça marche pas avec moi.

Ce que j'ai fais :
- la commande gedit sur un terminal administrateur pour lancer bah gedit.
-J'ai copier le profil pour le mettre sur gedit.
-J'ai enregistré dans /etc/apparmor.d sous le nom de usr.bin.iceweasel
-J'ai lancé la commande (dans un terminal root) "aa-enforce iceweasel"

J'ai ce message d'erreur : "Profile for /usr/lib/iceweasel/iceweasel not found, skipping"

Une idée ?

kawer · 22-12-2015 16:14:30

Essaye comme ça :

mv /etc/apparmor.d/usr.bin.iceweasel /etc/apparmor.d/usr.lib.iceweasel.iceweasel

 

Edit : Suivi d'un :

aa-enforce iceweasel

 

Dernière modification par kawer (22-12-2015 16:15:23)

Tyrpio · 22-12-2015 18:33:46

Ouais ça marche smolski

Voici le résultat des commandes :

mv /etc/apparmor.d/usr.bin.iceweasel /etc/apparmor.d/usr.lib.iceweasel.iceweasel

aa-enforce iceweasel

mv: impossible d'évaluer « /etc/apparmor.d/usr.bin.iceweasel »: Aucun fichier ou dossier de ce type

root@pc:/home/yop# aa-enforce iceweasel

Setting /usr/lib/iceweasel/iceweasel to enforce mode.

Traceback (most recent call last):

  File "/usr/sbin/aa-enforce", line 30, in <module>

    tool.cmd_enforce()

  File "/usr/lib/python3/dist-packages/apparmor/tools.py", line 166, in cmd_enforce

    raise apparmor.AppArmorException(cmd_info[1])

apparmor.common.AppArmorException: 'Warning: unable to find a suitable fs in /proc/mounts, is it mounted?\nUse --subdomainfs to override.\n'

Encore une idée ?

Dernière modification par Tyrpio (22-12-2015 18:53:50)

smolski · 22-12-2015 18:39:40

Salut Tyrpio, plutôt qu'une image, tu peux recopier le contenu du terminal en le copiant collant avec la souris ici et en l'encadrant avec les balises du forum.
Commande user pour toutes les commandes user et dessous le bloc automatique où coller le retour de cette commande par exemple.

Edit :
Ah oui le tuto des couleurs :
Voir le tuto : Le code, ça pique moins les yeux en couleur

Dernière modification par smolski (22-12-2015 18:40:54)

kawer · 22-12-2015 20:01:48

Que donne le retour de la commande :

aa-status

Lors de mes premières tentatives je n'avais pas respecter scrupuleusement le wiki debian et apparmor tout en étant lancé était désactiver donc sans profil actif.

Dernière modification par kawer (22-12-2015 20:02:47)

Tyrpio · 22-12-2015 20:10:00

Voilà ce que ça donne :

aa-status

apparmor module is loaded.

apparmor filesystem is not mounted.

kawer · 22-12-2015 21:13:28

Tu ajoute apparmor au lancement de grub, pour ce fairet tu ajoute "apparmor=1 security=apparmor" à GRUB_CMDLINE_LINUX_DEFAULT

nano /etc/default/grub

GRUB_CMDLINE_LINUX_DEFAULT "apparmor=1 security=apparmor" 

Ensuite tu configure grub :

update-grub

Tu reboot ton système et tu essai de nouveau.

Dernière modification par kawer (22-12-2015 22:00:28)

Beta-Pictoris · 07-08-2018 23:51:38

Il paraît qu'apparmor va être activé, par défaut, sur buster.

Des gens utilisent couramment apparmor sur stretch ? Vous trouvez que ça marche bien ?

anonyme · 08-08-2018 08:40:36

Bonjour
voila ce que ça donne sur Buster

aa-status

 

apparmor module is loaded.

23 profiles are loaded.

21 profiles are in enforce mode.

   /usr/bin/evince

   /usr/bin/evince-previewer

   /usr/bin/evince-previewer//sanitized_helper

   /usr/bin/evince-thumbnailer

   /usr/bin/evince-thumbnailer//sanitized_helper

   /usr/bin/evince//sanitized_helper

   /usr/bin/man

   /usr/lib/cups/backend/cups-pdf

   /usr/lib/telepathy/mission-control-5

   /usr/lib/telepathy/telepathy-*

   /usr/lib/telepathy/telepathy-*//pxgsettings

   /usr/lib/telepathy/telepathy-*//sanitized_helper

   /usr/lib/telepathy/telepathy-ofono

   /usr/sbin/cups-browsed

   /usr/sbin/cupsd

   /usr/sbin/cupsd//third_party

   libreoffice-senddoc

   libreoffice-soffice//gpg

   libreoffice-xpdfimport

   man_filter

   man_groff

2 profiles are in complain mode.

   libreoffice-oopslash

   libreoffice-soffice

2 processes have profiles defined.

2 processes are in enforce mode.

   /usr/sbin/cups-browsed (565) 

   /usr/sbin/cupsd (510) 

0 processes are in complain mode.

0 processes are unconfined but have a profile defined.

nota: je ne suis pas avec le noyau officiel de debian mais le 4.18-rc8
par contre rien installé ou configuré pour AppArmor (dist-upgrade de stretch vers buster)

Dernière modification par anonyme (08-08-2018 08:41:08)

Beta-Pictoris · 08-08-2018 09:51:44

Au niveau des profils, il n'y a pas beaucoup de changement apparemment.

Tu connais cette commande ?

cat /sys/kernel/security/apparmor/profiles

Je la trouve plus lisible que aa-status.

Par moment, on est obligé de modifier un profil.
Il y a une page de manuel (apparmor.d), mais tout n'est pas toujours très clair. Tu connais ?

Pour voir les logs d'apparmor, je regarde dans "/var/log/syslog". Mais ça manque de détail je trouve.

Dernière modification par Beta-Pictoris (08-08-2018 09:52:01)

anonyme · 08-08-2018 10:48:29

voila le résultat

cat /sys/kernel/security/apparmor/profiles

/usr/sbin/apt-cacher-ng (enforce)

/usr/bin/totem-video-thumbnailer (enforce)

/usr/bin/totem-audio-preview (enforce)

/usr/bin/totem (enforce)

/usr/bin/pidgin (enforce)

/usr/bin/pidgin//sanitized_helper (enforce)

/usr/bin/pidgin//launchpad_integration (enforce)

/usr/bin/irssi (complain)

gst_plugin_scanner (enforce)

/usr/{sbin/traceroute,bin/traceroute.db} (complain)

/usr/sbin/smbldap-useradd (complain)

/usr/sbin/smbldap-useradd///etc/init.d/nscd (complain)

/usr/sbin/smbd (complain)

/usr/sbin/nscd (complain)

/usr/sbin/nmbd (complain)

/usr/sbin/mdnsd (complain)

/usr/sbin/identd (complain)

/usr/sbin/dnsmasq (complain)

/usr/sbin/dnsmasq//libvirt_leaseshelper (complain)

/usr/sbin/avahi-daemon (complain)

syslogd (complain)

syslog-ng (complain)

klogd (complain)

ping (complain)

/usr/bin/evince-thumbnailer (enforce)

/usr/bin/evince-thumbnailer//sanitized_helper (enforce)

/usr/bin/evince-previewer (enforce)

/usr/bin/evince-previewer//sanitized_helper (enforce)

/usr/bin/evince (enforce)

/usr/bin/evince//sanitized_helper (enforce)

/usr/sbin/cupsd (enforce)

/usr/sbin/cupsd//third_party (enforce)

/usr/lib/cups/backend/cups-pdf (enforce)

libreoffice-xpdfimport (enforce)

libreoffice-oopslash (complain)

libreoffice-senddoc (enforce)

libreoffice-soffice (complain)

libreoffice-soffice//gpg (enforce)

/usr/lib/telepathy/telepathy-ofono (enforce)

/usr/lib/telepathy/telepathy-* (enforce)

/usr/lib/telepathy/telepathy-*//sanitized_helper (enforce)

/usr/lib/telepathy/telepathy-*//pxgsettings (enforce)

/usr/lib/telepathy/mission-control-5 (enforce)

/usr/sbin/cups-browsed (enforce)

man_groff (enforce)

man_filter (enforce)

/usr/bin/man (enforce)

Debian-facile

#1 24-06-2015 14:21:24

Comment utiliser AppArmor sur Debian ?

#2 24-06-2015 14:32:46

Re : Comment utiliser AppArmor sur Debian ?

#3 24-06-2015 21:19:38

Re : Comment utiliser AppArmor sur Debian ?

#4 25-06-2015 08:37:57

Re : Comment utiliser AppArmor sur Debian ?

#5 25-06-2015 15:06:02

Re : Comment utiliser AppArmor sur Debian ?

#6 26-06-2015 01:21:25

Re : Comment utiliser AppArmor sur Debian ?

#7 27-06-2015 02:28:59

Re : Comment utiliser AppArmor sur Debian ?

#8 28-06-2015 07:33:16

Re : Comment utiliser AppArmor sur Debian ?

#9 28-06-2015 13:46:41

Re : Comment utiliser AppArmor sur Debian ?

#10 28-06-2015 14:21:01

Re : Comment utiliser AppArmor sur Debian ?

#11 28-06-2015 22:40:19

Re : Comment utiliser AppArmor sur Debian ?

#12 29-06-2015 01:25:44

Re : Comment utiliser AppArmor sur Debian ?

#13 29-06-2015 11:35:31

Re : Comment utiliser AppArmor sur Debian ?

#14 09-12-2015 16:21:40

Re : Comment utiliser AppArmor sur Debian ?

#15 22-12-2015 10:45:44

Re : Comment utiliser AppArmor sur Debian ?

#16 22-12-2015 16:14:30

Re : Comment utiliser AppArmor sur Debian ?

#17 22-12-2015 18:33:46

Re : Comment utiliser AppArmor sur Debian ?

#18 22-12-2015 18:39:40

Re : Comment utiliser AppArmor sur Debian ?

#19 22-12-2015 20:01:48

Re : Comment utiliser AppArmor sur Debian ?

#20 22-12-2015 20:10:00

Re : Comment utiliser AppArmor sur Debian ?

#21 22-12-2015 21:13:28

Re : Comment utiliser AppArmor sur Debian ?

#22 07-08-2018 23:51:38

Re : Comment utiliser AppArmor sur Debian ?

#23 08-08-2018 08:40:36

Re : Comment utiliser AppArmor sur Debian ?

#24 08-08-2018 09:51:44

Re : Comment utiliser AppArmor sur Debian ?

#25 08-08-2018 10:48:29

Re : Comment utiliser AppArmor sur Debian ?

Pied de page des forums