• # D'abord les choses simples

    Posté par (site web personnel) . En réponse au journal Propositions de bacs à sable, par exemple pour un panda roux. Évalué à 6. Dernière modification le 17 août 2015 à 20:45.

    Sous Ubuntu une méthode très simple pour améliorer un peu la sécurité de Firefox c'est d'activer le profil apparmor.

    On liste pour voir les profils qui sont actuellement actifs :

    patrick@laptop:~$ sudo apparmor_status
[sudo] password for patrick: 
apparmor module is loaded.
17 profiles are loaded.
17 profiles are in enforce mode.
 /sbin/dhclient
 /usr/bin/evince
 /usr/bin/evince-previewer
 /usr/bin/evince-previewer//sanitized_helper
 /usr/bin/evince-thumbnailer
 /usr/bin/evince-thumbnailer//sanitized_helper
 /usr/bin/evince//sanitized_helper
 /usr/lib/NetworkManager/nm-dhcp-client.action
 /usr/lib/NetworkManager/nm-dhcp-helper
 /usr/lib/connman/scripts/dhclient-script
 /usr/lib/cups/backend/cups-pdf
 /usr/lib/lightdm/lightdm-guest-session
 /usr/lib/lightdm/lightdm-guest-session//chromium
 /usr/sbin/cups-browsed
 /usr/sbin/cupsd
 /usr/sbin/cupsd//third_party
 /usr/sbin/tcpdump
0 profiles are in complain mode.
3 processes have profiles defined.
3 processes are in enforce mode.
 /sbin/dhclient (1434) 
 /usr/sbin/cups-browsed (735) 
 /usr/sbin/cupsd (689) 
0 processes are in complain mode.
0 processes are unconfined but have a profile defined.

    On active le profil Firefox (qui existe déjà mais n'est pas actif par défaut) :

    patrick@laptop:~$ sudo aa-enforce /etc/apparmor.d/usr.bin.firefox
Setting /etc/apparmor.d/usr.bin.firefox to enforce mode.

    Puis on liste à nouveau pour voir les profils chargés :

    patrick@laptop:~$ sudo apparmor_status
[sudo] password for patrick: 
apparmor module is loaded.
22 profiles are loaded.
22 profiles are in enforce mode.
 /sbin/dhclient
 /usr/bin/evince
 /usr/bin/evince-previewer
 /usr/bin/evince-previewer//sanitized_helper
 /usr/bin/evince-thumbnailer
 /usr/bin/evince-thumbnailer//sanitized_helper
 /usr/bin/evince//sanitized_helper
 /usr/lib/NetworkManager/nm-dhcp-client.action
 /usr/lib/NetworkManager/nm-dhcp-helper
 /usr/lib/connman/scripts/dhclient-script
 /usr/lib/cups/backend/cups-pdf
 /usr/lib/firefox/firefox{,*[^s][^h]}
 /usr/lib/firefox/firefox{,*[^s][^h]}//browser_java
 /usr/lib/firefox/firefox{,*[^s][^h]}//browser_openjdk
 /usr/lib/firefox/firefox{,*[^s][^h]}//lsb_release
 /usr/lib/firefox/firefox{,*[^s][^h]}//sanitized_helper
 /usr/lib/lightdm/lightdm-guest-session
 /usr/lib/lightdm/lightdm-guest-session//chromium
 /usr/sbin/cups-browsed
 /usr/sbin/cupsd
 /usr/sbin/cupsd//third_party
 /usr/sbin/tcpdump
0 profiles are in complain mode.
3 processes have profiles defined.
3 processes are in enforce mode.
 /sbin/dhclient (1434) 
 /usr/sbin/cups-browsed (735) 
 /usr/sbin/cupsd (689) 
0 processes are in complain mode.
0 processes are unconfined but have a profile defined.
patrick@laptop:~$