Forum Debian Users Gang

Mam włączoną akcelerację flasha.

Ostatnio chodzi całkiem grzecznie, choć całkowicie mu zablokowałem zapis jakiegokolwiek pliku w ~/.macromedia/.   :)

grep macromedia /etc/apparmor.d/usr.lib64.firefox.plugin-container
  owner @{HOME}/.macromedia/     r,
  owner @{HOME}/.macromedia/**   r,

Teraz mam:

www-plugins/adobe-flash-11.2.202.297 (32bit 64bit multilib selinux sse2 vdpau)

Konfiguracja?

egrep -v '#|^$' /etc/adobe/mms.cfg 
AllowUserLocalTrust = 0
OverrideGPUValidation = true
EnableLinuxHWVideoDecode = 1
WindowlessDisable = 1

Pozdro
;-)

Ostatnio edytowany przez Jacekalex (2013-07-15 01:51:19)

Profil plugin-container?
Niezbyt udany, na razie jest w nim cała java, sypie troszkę błędami, ale proszę:
http://jacekalex.sh.dug.net.pl/apparmor/usr.lib64.firefox.plugin-container
i do Firefoxa:
http://jacekalex.sh.dug.net.pl/apparmor/usr.lib64.firefox.firefox

Jeszcze sporo roboty z tymi profilami i dokumentacją Apparmora przed mną, ale akurat mam na to sporo czasu ;).

Plugin-container z Frefoxa-22 nie umiał u mnie znaleźć bibliotek siedzących w /usr/lib64/firefox (niezależnie od Apparmora, po prostu tam nie szukał), podlinkowałem 3 szt do /usr/lib64 i już chodzi.
To te:

/usr/lib64/firefox/libxul.so
/usr/lib64/firefox/libmozalloc.so    
/usr/lib64/firefox/libmozsqlite3.so

Pozdro
;-)

Ostatnio edytowany przez Jacekalex (2013-07-16 13:07:19)

U mnie działa w FF i java i flash, innych wtyczek na razie nie dodawałem.
Z obu chcę zrobić abstractions/*  dla różnych przeglądarek.

Chociaż na razie to dla mnie maleńki horror.
Np Akregator po zablokowaniu dostępu do /sys/ pluje logami DENIED, Chrome się w ogóle nie chce odpalić.
Dla porównania, jak w Grscurity zablokowałem dostęp do /sys wszystkim, to ani Akregator ani Chrome nie miauczały, bo grsec ukrywa istnienie pliku/folderu - tak, jakby w ogóle nie istniał.

Dlatego idealny model bezpieczeństwa, to Grsec+Apparmor.
Grsec na prosty konfig na poziomie rootfs i zablokowania możliwości wyłączenia Apparmora (/sys/modules/apparmor/parameters), i innych krytycznych miejsc w /proc, /dev i /sys.
Apparmor za to ma bardziej elastyczny konfig dzięki opcjom owner i regexom, których na razie nie ma w gracl.

Pozdro
;-)

Ostatnio edytowany przez Jacekalex (2013-07-17 20:04:03)

[quote=remi]Właśnie - [tt]AppArmor[/tt] jest bardziej elastyczny. Powoli zaczynam go poznawać. [tt]Grsec[/tt] musi troszeczkę poczekać. A tak przy okazji: dlaczego zmodyfikowałeś domyślny profil dla Firefoxa? Z tego, co pamiętam działał Flash etc.[/quote]
Dlaczego?
Dlatego, ze tamten profil był do FF-3.6 - a ja go dopasowałem do FF-22 i FF-25.
Między tymi wersjami jest kilka różnic, prawda?

W tej chwili mam trochę czasu, w tym czasie robię sobie profile do wszystkiego, co łączy się z netem, lub otwiera jakieś pliki z netu, a także do rożnych rozwiązań sieciowych,
które czasem stawiam na serwerach.
Robota wygląda rożnie, czasem gotowy profil, czasem trzeba go mniej lub bardziej przerabiać, czasem pisać do zera.

Zgadnij, które zrobiłem od zera, a które pochodzą z netu, i były mniej lub bardziej poprawiane, które natomiast są bez zmian?

/usr/bin/gimp-2.8 (enforce)
/usr/bin/spamc (enforce)
/usr/sbin/amavisd (enforce)
/usr/sbin/rsyslogd (enforce)
/usr/sbin/clamav-milter (enforce)
/usr/bin/freshclam (enforce)
/usr/sbin/dkim-filter (enforce)
/usr/bin/dk-filter (enforce)
/usr/sbin/sendmail.postfix (enforce)
/usr/libexec/postfix/virtual (enforce)
/usr/libexec/postfix/verify (enforce)
/usr/libexec/postfix/trivial-rewrite (enforce)
/usr/libexec/postfix/tlsmgr (enforce)
/usr/libexec/postfix/spfperl (enforce)
/usr/libexec/postfix/spawn (enforce)
/usr/libexec/postfix/smtpd (enforce)
/usr/libexec/postfix/smtp (enforce)
/usr/libexec/postfix/showq (enforce)
/usr/libexec/postfix/scache (enforce)
/usr/libexec/postfix/qmqpd (enforce)
/usr/libexec/postfix/qmgr (enforce)
/usr/libexec/postfix/proxymap (enforce)
/usr/libexec/postfix/pipe (enforce)
/usr/libexec/postfix/pickup (enforce)
/usr/libexec/postfix/oqmgr (enforce)
/usr/libexec/postfix/nqmgr (enforce)
/usr/libexec/postfix/master (enforce)
/usr/libexec/postfix/local (enforce)
/usr/libexec/postfix/lmtp (enforce)
/usr/libexec/postfix/flush (enforce)
/usr/libexec/postfix/error (enforce)
/usr/libexec/postfix/discard (enforce)
/usr/libexec/postfix/cleanup (enforce)
/usr/libexec/postfix/bounce (enforce)
/usr/libexec/postfix/anvil (enforce)
/usr/{sbin/traceroute,bin/traceroute.db} (enforce)
/usr/sbin/tcpdump (enforce)
/usr/sbin/sshd (enforce)
/usr/sbin/sshd//PRIVSEP_MONITOR (enforce)
/usr/sbin/sshd//PRIVSEP (enforce)
/usr/sbin/sshd//EXEC (enforce)
/usr/sbin/sshd//AUTHENTICATED (enforce)
/usr/sbin/spamd (enforce)
/usr/sbin/smbldap-useradd (enforce)
/usr/sbin/smbldap-useradd///etc/init.d/nscd (enforce)
/usr/sbin/smbd (enforce)
/usr/sbin/sendmail (enforce)
/usr/sbin/proftpd (enforce)
/usr/sbin/postqueue (enforce)
/usr/sbin/postmap (enforce)
/usr/sbin/postgrey (enforce)
/usr/sbin/postdrop (enforce)
/usr/sbin/nscd (enforce)
/usr/sbin/nmbd (enforce)
/usr/sbin/named (enforce)
/usr/sbin/mysqld (enforce)
/usr/sbin/mtr (enforce)
/usr/sbin/lighttpd (enforce)
/usr/sbin/dovecot (enforce)
/usr/sbin/clamd (enforce)
/usr/local/bin/rssperl (enforce)
/usr/libexec/gweather-applet-2 (enforce)
/usr/libexec/dovecot/pop3-login (enforce)
/usr/libexec/dovecot/pop3 (enforce)
/usr/libexec/dovecot/managesieve-login (enforce)
/usr/libexec/dovecot/lmtp (enforce)
/usr/libexec/dovecot/imap-login (enforce)
/usr/libexec/dovecot/imap (enforce)
/usr/libexec/dovecot/dovecot-lda (enforce)
/usr/libexec/dovecot/auth (enforce)
/usr/lib/apache2/mpm-prefork/apache2 (enforce)
/usr/lib/apache2/mpm-prefork/apache2//phpsysinfo (enforce)
/usr/lib/apache2/mpm-prefork/apache2//HANDLING_UNTRUSTED_INPUT (enforce)
/usr/lib/apache2/mpm-prefork/apache2//DEFAULT_URI (enforce)
/usr/lib64/thunderbird/thunderbird (enforce)
/usr/lib64/php5.3/bin/php-fpm (enforce)
/usr/lib64/libreoffice/program/soffice.bin (enforce)
/usr/lib64/libreoffice/program/soffice (enforce)
/usr/lib64/firefox/plugin-container (enforce)
/usr/lib64/firefox/firefox (enforce)
/usr/bin/wget (enforce)
/usr/bin/vlc (enforce)
/usr/bin/totem-video-thumbnailer (enforce)
/usr/bin/totem-video-indexer (enforce)
/usr/bin/totem-audio-preview (enforce)
/usr/bin/totem (enforce)
/usr/bin/snort (enforce)
/usr/bin/smplayer (enforce)
/usr/bin/rtmpdump (enforce)
/usr/bin/qbittorrent (enforce)
/usr/bin/pidgin (enforce)
/usr/bin/opera (enforce)
/usr/bin/mplayer (enforce)
/usr/bin/mencoder (enforce)
/usr/bin/lft (enforce)
/usr/bin/gthumb (enforce)
/usr/bin/file-roller (enforce)
/usr/bin/ffprobe (enforce)
/usr/bin/ffplay (enforce)
/usr/bin/ffmpeg (enforce)
/usr/bin/evince-thumbnailer (enforce)
/usr/bin/evince-previewer (enforce)
/usr/bin/evince (enforce)
/usr/bin/eog (enforce)
/usr/bin/curl (enforce)
/usr/bin/axel (enforce)
/usr/bin/akregator (enforce)
/usr/bin/AbiWord-2.8 (enforce)
/sbin/klogd (enforce)
/opt/google/chrome/nacl_helper_bootstrap (enforce)
/opt/google/chrome/google-chrome (enforce)
/opt/google/chrome/chrome-sandbox (enforce)
/opt/google/chrome/chrome (enforce)
/opt/google/chrome/chrome///usr/bin/xdg-settings (enforce)
/opt/google/chrome/chrome///opt/google/chrome/xdg-settings (enforce)
/opt/firefox25/plugin-container (enforce)
/opt/firefox25/firefox (enforce)
/opt/skype/skype(enforce)
/{usr/,}bin/ping (enforce)

Z niektórymi są problemy, m.in z Javą, Chrome, Operą i Libreoffice, Gimp już zaczyna działać z AA (od 1/2 godziny, właśnie powstaje :D), FF chodzi wystarczająco dobrze, idealnie wyszły robione od zera, Named i Proftpd, dobrze też chodzi Mysql, dosyć dobrze udały się profile  do Mplayera, Totema, Vlc czy wszystkich FFmpegów, a także banalnie prostych programów, jak Wget, Rtmpdump, Axel czy Curl.

Co najmniej polowa czeka jeszcze na zmiany większe lub mniejsze, czasem kosmiczne,
ale na to jeszcze przyjdzie pora.

Największy problem jest z programami, które są  na moment otwierane przez inny proces, np Postfix smtpd otwierany na kilka sekund do obsługi połączenia przez Postfix-master.
Ale na to też są sposoby, lepsze lub gorsze.  ;)

Pozdro
;-)

Serwus. [b]Jacku[/b], oczywiście było wiele różnic pomiędzy wersjami 3.X a 22.X. Szczerze mówiąc, ja również chcę stworzyć profile dla aplikacji łączących się etc. z internetem, czy w jakiś sposób z nim związanych. W tej chwili są, to np. profile dla Firefox'a, Pidgina (przerobiony - "oficjalny" powodował różne dziwne "krzaczki" etc), dhclient etc. Wiesz, [b]Jacku[/b] nie potrafię do końa zgadnąć, które profile są bez zmian, a które pochodzą z internetu etc. Z pewnością w sieci możemy znaleźć np. profil dla [tt]usr.sbin.rsyslogd[/tt], [tt] usr.bin.freshclam[/tt], czy chociażby [tt]/usr/sbin/nscd[/tt] oraz [tt]/usr/sbin/nmbd[/tt]. Dostępne są również profile dla [tt]usr.lib.dovecot.pop3[/tt] (w tym [tt]*pop3-login[/tt], [tt]*dovecot-auth[/tt], [tt]*imap[/tt], [tt]*imap-login[/tt], [tt]*managesieve-login[/tt] etc.) Myślę, że Twoje profile odnoszą się do aplikacji w stylu [tt]/usr/bin/smplayer[/tt], ale mogę się mylić! :-) Rozumiem, że wszystkie profile, a przynajmniej niektóre, są już załadowane vide [tt][color=green]apparmor_status[/color][/tt]?

Cześć [b]dowoszek[/b]. Wiesz, zawsze lepiej mieć odpalony profil niż np. później żałować. Tym bardziej, że owy, domyślny profil wydaje się być naprawdę dobrze napisany. Sprawdzałeś np. plik [tt]/var/log/kern.log[/tt] w poszukiwaniu jakichkolwiek komunikatów dot. [tt]AppArmora[/tt] i akcji podjętych wobec Firefoxa (w moim przypadku jest, to np. akcja [tt]"DENIED"[/tt] dla powiedzmy [tt]"/dev/nvidiactl"[/tt] - Firefox działa dobrze, pomimo wspomnianej operacji)? Oczywiście, że owy profil ma wpływ na bezpieczeństwo. W dodatku z kilkoma dodatkami, jest naprawdę OK. Wystarczy, że go przeglądniesz i dowiesz się, co przeglądarka może a czego nie (przydatna, będzie ze zrozumiałych, względów również dokumentacja dla [url=https://doc.opensuse.org/products/draft/SLES/SLES-security_sd_draft/cha.apparm.profiles.html][color=blue]AppArmor[/color][/url]). Szczerze mówiąc, ja także zmieniłem w pewnym małym stopniu, domyślny profil, ale nie było, to nic szczególnego.

Pozdrawiam serdecznie.

Ostatnio edytowany przez remi (2013-07-18 16:38:39)

Cześć. Polecenie: [tt][color=green]aa-status {program}[/color][/tt] wywala u mnie komunikat dot. opcji do wykorzystania. Natomiast owe polecenie z wykorzystaniem [tt]grep[/tt] działa OK, czyli np. [tt][color=green]aa-status |grep firefox[/color][/tt], ale nie wyświetla informacji na temat statusu profilu, tak jak w przypadku polecenia podanego przez Ciebie. [b]Jacku[/b] nie rozumiem dokładnie tego, co piszesz odnośnie [tt]aa-logprof[/tt]. Wszakże istnieje możliwość wywołania [tt][color=green]aa-logprof -d /path/to/profile/directory/[/color][/tt]. Flaga [tt]-d[/tt] oznacza, że profil nie znajduje się w standardowym katalogu. W dokumentacji openSuse, można znaleźć kilka ciekawych informacji [url=https://doc.opensuse.org/documentation/html/openSUSE/opensuse-security/cha.apparmor.commandline.html#sec.apparmor.commandline.profiling.summary.logprof][color=blue]źródło[/color][/url]. Ale prawdopodobnie nie zrozumiałem tego, co masz na myśli :-)

Odnośnie [tt]aa-status[/tt] i informacji o których wspomniałem. Wygląda na to, że z tego polecenia można wyciągnąć jedynie liczby odnośnie profili:

# aa-status --complaining
2
# aa-status --enforced
10
# aa-stats --verbose
lista podobna do wywołanej via aa-status

Trzymaj się.

Ostatnio edytowany przez remi (2013-07-18 17:29:54)

Serwus. A nie jest czasem tak, że stosując jakąkolwiek regułe dla katalogu i plików w nim zawartych,  zasada powinna zawierać [tt]*[/tt]? Być może się mylę, ale wydaje mi się, że [tt][color=green]deny /sys/* mrwxlk,[/color][/tt], jest odpowiedniejsze(?) Poniższy przykład umożliwia dostęp odczytu/zapisu do wszystkiego z katalogu użytkownika, z wyjątkiem zapisu do plików SSH/.:

deny /home/*/.ssh/** w,
/home/*/** rw,

Jak widzisz [b]Jacku[/b], owe gwiazdki są [u]chyba[/u] potrzebne. Być może się mylę, ale chciałbym być pewny. Odnośnie reszty Twojego postu, nie mam dzisiaj siły pomyśleć nad sensowną odpowiedzią.

Trzymaj się, pozdrawiam serdecznie.

Serwus. Fakt, masz rację. Napisałbym: [color=darknavy][i]Lesson learned, wish me luck[/i][/color], ale widziałem/czytałem już ową stronę i chyba wolę oficjalną dokumentację od openSUSE.

Pozdrawiam.

Na szczęście zbliżamy się do końca Flasha (na szczęście dla nas i dla użytkowników)

Fervi

[quote=Jacekalex]U mnie w FF-23  już to szczęście nastąpiło, choć wcale o nie nie prosiłem:

tail -n5  pluginreg.dat
43:audio/x-flac:FLAC audio:flac:$

[INVALID]
/opt/Adobe/flash-player/flash-plugin/libflashplayer.so:$
1378889925000:$

Da się to jakoś poprawić?
Próbowałem usuwać pluginreg.dat, wywalać wpis, a Firefox dalej swoje. ;P[/quote]
U mnie Flash dokonał samobójstwa, ale zaktualizowałem go ręcznie (Jessie) - i działa dalej bez problemów, ale mam też Shumway'a i patrzę jak działa (Shumway jest ustawiony tak, że włącza się automatycznie, ale potem klikasz "X" i się wyłącza Shumway i jest Flash (więc masz 2 obok siebie)

Fervi