Firefox und Thunderbird mit AppArmor absichern
März 17th, 2008Der Bundestrojaner ist in aller Munde und wird wohl trotz des Urteils des Bundesverfassungsgerichts kommen. Nicht nur potentielle Terroristen stellen sich daher die Frage, ob und wie man sich vor dem Bundestrojaner (und so natürlich auch vor anderer Malware) schützen kann. Linux-User haben bisher kein Problem mit Malware, da die Plattform für Autoren von Schadsoftware uninteressant ist. Dies trifft aber nicht auf den Bundestrojaner zu, der im Prinzip auch unter Linux zum Einsatz kommen könnte. Bisher wurde vor allem der Versand per Email als Verbreitungsweg vorgeschlagen. Darauf dürften aber nur sehr dumme Benutzer reinfallen, wahrscheinlicher ist daher die Verbreitung durch Sicherheitslücken in Browsern und Mailprogrammen. Diese betreffen Linux meist genauso wie die Windows-Versionen dieser Programme. Daher ist es sinnvoll, die gefährdeten Programme durch eine zusätzliche Schutzschicht vom restlichen System zu trennen.
Eine solche bietet AppArmor, welches bei Ubuntu und openSuse zum Lieferumfang gehört. Mit Hilfe von Profilen wird festgelegt, worauf ein Programm - etwa Firefox - zugreifen und welche Befehle es ausführen darf. So kann man etwa den Zugriff auf das Home-Verzeichnis des Benutzers sperren und Firefox nur auf sein Profil (unter ~/.mozilla/firefox) Zugriff gewähren, obwohl der Benutzer, unter dem Firefox läuft, natürlich auch in sein Home-Verzeichnis schreiben kann. Dies schließt zwar keine Sicherheitslücken, sollte jedoch eine ausgenutzt werden, kann sich der Schädling nicht im System festsetzen, da für ihn die gleichen Regeln wie für Firefox gelten.
Ich habe solche Profile für Mozilla Firefox sowie Thunderbird unter Ubuntu 7.10 erstellt. Sie sind so konzipiert, dass der Benutzer keinen Unterschied spürt. Dennoch dürfen die Anwendungen nur auf die Verzeichnisse zugreifen, bei denen dies nötig ist. Schreibender Zugriff ist nur noch auf das Profilverzeichnis (indem Einstellungen, Browsercache, etc. liegen), sowie einem Ordner downloads im Home-Verzeichnis des aktuellen Benutzers möglich. Dies heißt aber auch, dass Downloads und Mailanhänge (dazu zählen auch PDF-Dateien) zunächst in diesem Verzeichnis abgelegt werden müssen und das ein direkter Start einer Anwendung aus Firefox oder Thunderbird heraus (etwa OpenOffice, um ein Textdokument zu öffnen) nicht mehr möglich ist. Stattdessen muss die Datei im downloads-Ordner abgelegt und dann ganz normal mit der jeweiligen Anwendung, etwa OpenOffice, geöffnet werden. Dieser Komfortverlust ist sicher zu verschmerzen, zumal der Sicherheitsgewinn deutlich höher liegt. Denn diese Vorgehensweise blockiert auch das unabsichtliche Ausführen von Dateianhängen an Emails. Vor einem Risikofaktor schützt jedoch auch AppArmor nicht: Dem Benutzer, der alles bedenkenlos öffnet und ausführt, egal wie dubios die Quelle sein mag.
Um die AppArmor-Profile zu nutzen, müssen die Pakete apparmor und apparmor-utils installiert sein, was bei Ubuntu 7.10 standardmäßig der Fall ist. Laden Sie nun die Profile herunter und entpacken Sie sie in das Verzeichnis /etc/apparmor.d/ (dazu benötigen Sie root-Rechte). Öffnen Sie dazu ein Terminal und wechseln Sie mit cd in das Verzeichnis, in das Sie die Datei ….tgz heruntergeladen haben. Geben Sie dann folgende Befehle ein:
tar xvfz aa-profiles.tgz
sudo cp usr.lib.firefox.firefox /etc/apparmor.d
sudo cp usr.lib.thunderbird.thunderbird /etc/apparmor.d
Nun aktivieren Sie die beiden Profile noch im Enforcing-Modus:
sudo aa-enforce /etc/apparmor.d/*
sudo /etc/init.d/apparmor restart
Mit sudo aa-status können Sie überprüfen, ob alles funktioniert hat. Von nun an Schützt AppArmor Firefox und Thunderbird. Sollten Probleme auftreten, können sie mit folgenden Kommandos den Schutz wieder abstellen:
sudo aa-complain /etc/apparmor.d/usr.lib.firefox.firefox
sudo aa-complain /etc/apparmor.d/usr.lib.thunderbird.thunderbird
sudo /etc/init.d/apparmor restart
Um die Profile weiter zu verbessern, bitte ich Sie, auftretende Probleme entweder in den Kommentaren zu diesem Artikel oder per Email zu melden. Ich werde dann versuchen, das Profil soweit möglich anzupassen.
Tags: apparmor, firefox, howto, internet, Linux, sicherheit, thunderbird
