| Opracowany przez | Novell , Canonical Ltd. i Immunix ( w ) |
|---|---|
| Ostatnia wersja | 3.0.1 (2 grudnia 2020 r) |
| Kaucja | gitlab.com/apparmor/apparmor |
| Napisane w | C , Perl i Python |
| Rodzaj | Moduł bezpieczeństwa Linux ( d ) |
| Licencja | Powszechna Licencja Publiczna GNU |
AppArmor ( Application Armor ) to oprogramowanie zabezpieczające dla Linuksa wydane na licencji GNU General Public License .
AppArmor umożliwia administratorowi systemu skojarzenie profilu bezpieczeństwa z każdym programem, który ogranicza jego dostęp do systemu operacyjnego . Stanowi uzupełnienie tradycyjnego modelu Unixa z dyskrecjonalną kontrolą dostępu (DAC, Discretionary Access Control ) pozwalając na zastosowanie obowiązkowej kontroli dostępu (MAC, Mandatory Access Control ).
Oprócz profili z ręczną specyfikacją, AppArmor zawiera tryb uczenia się , w którym wszystkie naruszenia profilu są rejestrowane, ale nie można im zapobiec. Ten plik śledzenia można następnie włączyć do profilu, a następnie w oparciu o typowe zachowanie programu.
AppArmor jest zaimplementowany w jądrze Linuksa za pomocą interfejsu bezpieczeństwa jądra LSM ( Linux Security Modules ).
AppArmor powstał po części jako alternatywa dla SELinux , krytykowana za to, że jest trudna w konfiguracji i utrzymaniu przez administratorów. W przeciwieństwie do SELinux, który polega na stosowaniu flag do plików, AppArmor działa ze ścieżkami. Zwolennicy AppArmor twierdzą, że jest to mniej skomplikowane i łatwiejsze dla przeciętnego użytkownika niż nauka SELinux. Twierdzą również, że AppArmor wymaga mniej modyfikacji, aby współpracować z istniejącymi systemami; na przykład SELinux wymaga użycia systemu plików, który obsługuje rozszerzone atrybuty plików i dlatego nie może obsługiwać kontroli dostępu do plików podłączonych przez NFS .
Pierwotnie opracowany przez stowarzyszenie Crispin Cowan Immunix (w) , został przejęty przez AppArmor Novell, kiedy kupił Immunix. Novell jednak porzucił projekt i zwolnił twórców AppArmor. Firma Canonical przejęła rozwój, a AppArmor został zintegrowany z jądrem Linuksa od wersji 2.6.36.
AppArmor jest instalowany domyślnie w systemach Debian, openSUSE, Ubuntu i Parrot OS. Jest dostępny na Annvix, Arch Linux, Gentoo, Mandriva, NixOS, Pardus Linux i PLD.
AppArmor to jedno z wielu możliwych podejść do ograniczenia przetwarzania, które może wykonać zainstalowane oprogramowanie.
System SELinux generalnie stosuje podejście podobne do AppArmor. Jedną ważną różnicą jest to, że identyfikuje obiekty systemowe według nazwy, a nie ścieżki. Oznacza to na przykład, że w przypadku AppArmor plik, który jest niedostępny, może stać się dostępny po utworzeniu łącza, podczas gdy SELinux odmówi dostępu przez nowo utworzone łącze. I odwrotnie, w przypadku SELinuksa niedostępne dane mogą stać się dostępne, gdy aplikacje zaktualizują plik, zastępując go nową wersją (technika często używana), podczas gdy AppArmor będzie nadal odmawiać dostępu. W obu przypadkach problem rozwiązuje domyślna zasada braku dostępu .
Chociaż toczą się poważne debaty na temat tego, które podejście jest najlepsze, nadal nie ma dowodów na to, że jedna metoda jest lepsza od drugiej. Dyskusje na temat zalet i wad każdej metody zawsze obracają się wokół pytania, które podejście jest najbardziej spójne z istniejącymi mechanizmami kontroli dostępu w systemach UNIX / Linux, ale zarówno UNIX, jak i Linux używają kombinacji „dostępu według pliku i ścieżki”. Można również zauważyć, że mechanizmy kontroli dostępu w każdym systemie pozostają na swoim miejscu.
SELinux i AppArmor mają również różnice w sposobie zarządzania nimi, a także w sposobie ich integracji z systemem.
Izolację procesów można również osiągnąć poprzez wirtualizację; na przykład projekt OLPC wykorzystuje system piaskownicy do izolowania aplikacji z bardzo lekkim serwerem wirtualizacji ( Vserver ), chociaż nie jest to pełna warstwa bezpieczeństwa.