Gentoo Forums
Gentoo Forums
Gentoo Forums
Quick Search: in
D3 Installation AppArmor
View unanswered posts
View posts from last 24 hours
View posts from last 7 days

 
Reply to topic    Gentoo Forums Forum Index Deutsches Forum (German) Deutsche Dokumentation
View previous topic :: View next topic  
Author Message
pietinger
Moderator
Moderator


Joined: 17 Oct 2006
Posts: 5036
Location: Bavaria

PostPosted: Wed Nov 25, 2020 5:51 pm    Post subject: D3 Installation AppArmor Reply with quote

(Dieser Post ist Teil einer Installation-Anleitung. Falls nicht schon geschehen lies bitte: Installation Guide for Paranoid Dummies Post Nr. 3)



D.3 Installation AppArmor

1. Falls Du so wie von mir in D.1 beschrieben die AppArmor-Profile installiert hast, verschiebe diese spätestens jetzt in Dein /home-Verzeichnis (oder sonstwo Dir geeignet erscheinend), so dass /etc/apparmor.d komplett leer ist.

2. Wir benötigen die beiden Packages apparmor und apparmor-utils.
Code:
# emerge -pv apparmor
# emerge -pv apparmor-utils


3. Erstelle gleich einen Ordner für unsere späteren Basis-Profile (BP). Die Änderung der Zugriffsrechte soll auch gleich für den vorhandenen Ordner "disable" gelten; deshalb der "*"
Code:
# cd /etc/apparmor.d/
# mkdir local
# chmod 0700 *


4. Falls nicht schon geschehen, boote jetzt Deinen Kernel mit der AppArmor-Konfiguration, damit Du danach testweise diese Befehle absetzen kannst:
Code:
# aa-status
apparmor module is loaded.

# aa-unconfined
1761 /usr/sbin/sshd nicht eingeschränkt
2058 /usr/sbin/privoxy nicht eingeschränkt

Die Ausgabe des zweiten Befehls wird bei Dir sicherlich anders sein ;-) Du siehst hier die Programme (daemons) die höchst gefährdet sind, da sie 24*7 ins Netzwerk lauschen und deshalb mit AppArmor abgesichert werden sollten. Später dazu mehr.

5. Wenn wir mit allem fertig sind aktivieren wir AppArmor mit dem Systemstart (auch wenn es ungefährlich wäre es gleich zu machen, möchte ich es doch zur Sicherheit wirklich erst am Ende tun):
Code:
# rc-update add apparmor boot


Weiter gehts in D.4


Last edited by pietinger on Mon Dec 05, 2022 6:59 pm; edited 4 times in total
Back to top
View user's profile Send private message
pietinger
Moderator
Moderator


Joined: 17 Oct 2006
Posts: 5036
Location: Bavaria

PostPosted: Thu Dec 03, 2020 9:26 pm    Post subject: AppArmor 3.0.1 Reply with quote

Bei der Gelegenheit möchte ich Dich an zwei Dinge erinnern:

1. Vergiss nicht nach dem Lesen von D.4 bis D.10 noch den rc-update (o.g. Punkt 5)

2. Falls Du Dir - so wie ich - die AA-Profile geholt haben solltest, solltest Du diese auf alle Fälle mit "emerge -C apparmor-profiles" aus Deiner "world"-Datei löschen. (*)


* Ich habe es nämlich vergessen (nur die Files aus /etc/apparmor.d in mein /home verschoben) ... und vor ein paar Tagen kam ein KDE-Update. Ich war dann zuerst verwundert, warum ich plötzlich 4 AA-Profile für AKONADI bekam. Gut, es wurde damit nichts vorhandenes überschrieben; und ich habe sie mir gleich mal angesehen. Ich weiß nicht wie alt die sind, aber wenn der Aufruf eines externen Programms im Profil "usr.bin.akonadiserver" auf ein falsches Verzeichnis zeigt, dann liegt doch einiges im Argen ("drkonqi" ist bei Gentoo in "/usr/lib64/libexec" und nicht in "/usr/lib/x86_64-linux-gnu/libexec/drkonqi" installiert ... damit es im Fall eines Crashes von akonadi auch gleich richtig kracht ...).


Last edited by pietinger on Mon Dec 05, 2022 7:01 pm; edited 2 times in total
Back to top
View user's profile Send private message
pietinger
Moderator
Moderator


Joined: 17 Oct 2006
Posts: 5036
Location: Bavaria

PostPosted: Sat Dec 05, 2020 12:34 pm    Post subject: Reply with quote

Noch ein Hinweis:

Du wirst später in dmesg das Laden der Profile durch /etc/init.d/apparmor sehen. Dabei schneidet der Kernel (5.9.x) die Ausgabe ab und es sieht so aus, wie wenn er nur die ersten 9 Profile geladen hätte. Das ist aber nicht der Fall; es wurden alle geladen - also keine Panik ! Du kannst dies auch nach dem Boot mit "aa-status" überprüfen (gleiche Thematik wie in C.3.3 schon für IMA beschrieben).

Obsolet: Falls Du auch IMA installiert hast, siehst Du die Ausgaben von IMA nun überhaupt nicht mehr, da anscheinend der AUDIT immer nur die ersten 9 ausgibt. Ich habe testweise in "etc/init.d/loadimapolicy" ein "before apparmor" reingesetzt. Ergebnis ist, dass ich nun wieder die ersten 9 von IMA sehe, dafür aber nicht das Laden der AA-Profile.

Auf jeden Fall werden alle Profile von IMA und AppArmor geladen und sind auch "scharf" auch wenn man es in dmesg nicht so sieht !

Edit 2021-02-04: Wenn man in der sysctl.conf das "kernel.printk_ratelimit = 0" auf null setzt, wird wieder alles angezeigt. Sollte man aber nicht machen (ich habe dies nur bei Tests bemerkt).
Back to top
View user's profile Send private message
Display posts from previous:   
Reply to topic    Gentoo Forums Forum Index Deutsches Forum (German) Deutsche Dokumentation All times are GMT
Page 1 of 1

 
Jump to:  
You cannot post new topics in this forum
You cannot reply to topics in this forum
You cannot edit your posts in this forum
You cannot delete your posts in this forum
You cannot vote in polls in this forum