Firefox、AppArmor &自己更新 - チュートリアル

数週間前、私は AppArmor 強化ツールの基本的な概要を提供する記事を書き、それがどのように機能するかを説明し、Firefox ブラウザーを制限して強化する方法の実用的な例を示しました。ただし、Firefox だけでなく、Mozilla からダウンロードできる tarball バージョンについてもお待ちください。 tar アーカイブについて話しています。掴んで、取り出して、走る。

ここまでは順調ですね。 Kubuntu インストールの AppArmor プロファイル (テンプレート) を使用して、少し変更を加えるだけで、ホーム ディレクトリから実行する Firefox tar バージョン用のカスタム ルールセットを作成することができました。問題はありませんが、問題が 1 つあります。デフォルトでは、更新できません。今すぐ修正します。

問題の詳細

それで、何が起こるかは次のとおりです。 Firefox の tar バージョンを使用している場合は、Windows で見られるように、独自に自動更新するオプションがあります。基本的に、ブラウザはアップデートを取得し、再起動すれば作業は完了です。手動で何も再インストールする必要はありません。最初にブラウザを展開した場所 (~/Firefox/ など) からブラウザを実行し続けるだけです。

しかし、私の AppArmor プロファイルが配置されていると、ブラウザーは自己更新できません (上のスクリーンショットを参照)。更新が利用可能であることが通知され、手動でダウンロードできます。実際、いくつかの回避策があります:

• AppArmor ルールを削除すると、次にブラウザを再起動したときに Firefox が自己更新できるようになります。しかし、これは面倒です。後でルールを再適用する必要があります。

sudo apparmor_parser -R "Firefox tar バージョン プロファイルの名前"

• 手動で公式サイトにアクセスし、新しい tarball アーカイブをダウンロードして古いものの上に展開するか、単に展開して新しいフォルダーからすべてのファイルを手動で Firefox を保存している場所にコピーすることができます。これは、Firefox のプロフィールにはまったく影響しません。

tar -xvf "tarball"
cp -ar "tarball 抽出フォルダー"/* "Firefox インストール フォルダー"/

ただし、これらは (簡単な) 部分的な修正にすぎず、より確実なものが必要です。

解決策

本当の解決策は、AppArmor プロファイルを調べて、どのルールが競合を引き起こしているかを理解することです。一般に、プロファイルの各行は、特定のリソースへのアクセスを選択的に許可するか (ディレクトリへの読み取りは許可するが書き込みは禁止するなど)、または完全に拒否するルールです。明示的に書かれていないものは、プロファイルの対象外です。

ファイルのデフォルト ルールの 1 つは、Firefox インストール ディレクトリ内のファイルとフォルダへの書き込みアクセスを拒否することです。これは、Firefox がシステム ディレクトリにインストールされている場合の既定のプロファイルには意味がありますが、Firefox を独自の隔離された場所にインストールする場合は必ずしもそうではありません。

拒否 @{MOZ_LIBDIR}/** w,

このルールをコメントアウトし、Firefox プロファイルをリロードして、ジョブを完了できます:

sudo apparmor_parser -r "プロファイル名"

結論

ジョブ完了。この小さくて単純な変更は、Firefox tar バージョン (元) に自己更新機能を与えるために必要なすべてです。さて、あなたが非常にセキュリティを意識しているなら、これは良くない、またはその他のことだと言うかもしれません。必要に応じて手動で更新しても問題ありません。確かに、いつでもそのトリックに頼ることができます。しかし、利便性が必要で、なおかつ AppArmor プロファイルの強化の大部分が機能している場合は、ブラウザがそのインストール フォルダに書き込めるようにすることができます。潜在的な結果に注意してください。

願わくば、このガイドが、このトピックに関するいくつかの疑問を明確にし、わかりやすくすることを願っています。しかし、これで終わりではありません。次に、D-Bus について説明します。具体的には、Firefox で KDE/Plasma 統合機能を使用できるようにするために必要なルールについて説明します。おそらくこれは KDE 固有のように聞こえるかもしれませんが、チュートリアルがあらゆる種類のブラウザー統合機能に適用できるように十分に汎用的であることを確認します。次回まで、親愛なる仲間のオタク。

乾杯。