LINUX.ORG.RU

Ubuntu 24.10 представит систему запросов на разрешения для усиления безопасности

 ,

Ubuntu 24.10 представит систему запросов на разрешения для усиления безопасности

0

1

В Ubuntu 24.10, релиз которой запланирован на 10 октября 2024 года, появится функция запросов на разрешения, которая позволит пользователям контролировать доступ приложений к системным ресурсам.

Она позволит пользователям контролировать, управлять и лучше понимать поведение приложений, работающих на их устройствах. Основой для этой технологии послужила реализация AppArmor в Ubuntu, которая предоставляет тонко настраиваемый контроль доступа к приложениям без необходимости вносить изменения в их исходный код.

Оливер Смит, временно исполняющий обязанности директора по разработке Ubuntu Desktop в компании Canonical, заявляет: «Запросы разрешений, опираясь на AppArmor, усиливают изоляцию приложений и управляют доступом на уровне системных вызовов, чтобы каждое действие было под строгим контролем и требовало согласия пользователя, даже если приложение не осведомлено об этом процессе».

Основными элементами нововведения станут два предустановленных пакета: графический интерфейс под названием Security Center и командная утилита prompting-client. Эти инструменты будут задействовать новые функции, реализованные в snapd 2.65 и AppArmor 4.0. Через приложение Security Center пользователи смогут управлять правилами запросов на своём рабочем столе Ubuntu, а будущие обновления добавят ещё больше функций, таких как управление шифрованием и настройка брандмауэра.

Функция запросов разрешений будет запущена в экспериментальном режиме.

Для установки новой функции потребуется выполнить следующие команды:

snap refresh snapd --channel=candidate

snap install desktop-security-center

snap install prompting-client

>>> Подробности

★★★★

Проверено: cetjs2 ()
Последнее исправление: cetjs2 (всего исправлений: 1)

Ответ на: комментарий от kirill_rrr

Хотя может они смогут наконец то реализовать по человечески: с помощью развёрнутого центра настройки.

Но ведь это есть со старта

MEZON ★★★★★
()
Ответ на: комментарий от MEZON

Есть где и со старта чего? Вот на скрине есть очень креативная и информативнаЯ штука, гарантирующая пользователю кошмар при минимуме функционала. На по ссылке «подробности» есть видео, где очень идиотское окно вылезает ДО того, как браузер сохранит файл. Причём косяк двойной - это фокс, а у фокса логика скачивания совершенно ненормальная: сначала начинает качать во временный файл (нужно вывести запрос), потом спрашивает куда качать (запрос на переименование скрытого временного в открытый временный, кажется даже с перемещением между папками) а потом переименование временного в готовый (третий запрос).

kirill_rrr ★★★★★
()
Последнее исправление: kirill_rrr (всего исправлений: 1)
Ответ на: комментарий от Loki13

Но вот что будет с реализацией?

Традиционно, такое, что выпиливание этой штуки вместе со снапом — будет первым необходимым шагом что бы начать пользоваться бубунтой.

thunar ★★★★★
()
Последнее исправление: thunar (всего исправлений: 1)

А поддержку lvm в инсталляторе это позорище предоставить не хочет?

Сколько было кукареков о Федоре, дескать АЛЬФА ВЕРСИЯ ДЛЯ РАБОВ РЕДАХАТА! Зато в Убунте-то какая штабильность, в ЛТС версии просто выпилили поддержку лвм и пердолься как хочешь!

MoldAndLimeHoney
()
Ответ на: комментарий от MEZON

Они больше 3 лет пытались достичь паритета функционала снап- и нормальной версии. Насколько я знаю не получилось.

kirill_rrr ★★★★★
()
Ответ на: комментарий от pihter

В макоси удобно сделано. Если куда-то приложение хочет попасть, вылезает окошко с вопросом дать доступ или не дать.

Эти окошки за первые 5 минут задолбают и будешь клякать не глядя, иначе ниче не возможно сделать

Там немного не так сделано. Ограничен доступ в несколько папок, к примеру рабочий стол, документы и тд. Большинство приложений работают в своих рабочих папках, которые где-то в ~/Library/Application Support созданы и им доступ никуда больше и не нужен. При этом если ты открываешь файл или каталог системным диалогом (или перетаскиваешь файл на приложение), то доступ конкретно к этому файлу или каталогу даётся автоматически.

То бишь я запускаю редактор, и могу работать со своим ~/projects без каких-либо дополнительных вопросов, т.к. я эту папку сам создал и на неё никакие ограничения не распространяются. Я могу в этом редакторе открыть любой файл системным диалогом и этот редактор сразу получает доступ к этому файлу опять же без дополнительных окошек. И вот только если этот редактор вдруг решит полезть в ~/Documents без диалога открытия файла, а просто потому-что (к примеру KiCad это пытается делать, создавая там какой-то свой мусор), только тогда приложение зависает и система просит разрешение.

Поэтому эти запросы действительно видишь довольно редко.

Другой вопрос, что какой-то пользы в этом лично я не вижу. Если бы оно ~/.ssh ограничивало - это было бы хорошо. Но не ограничивает. А в ~/Downloads у меня всякий мусор, зачем туда доступ ограничивать - я вообще не понимаю. То бишь система вроде правильная и полезная, но реализация, как обычно, подкачала.

Ну и ещё добавлю, что для консольных приложений этот доступ не разграничивается. Доступ нужно дать Terminal-у, а всё, что в нём будет запускаться, этот доступ получит. Это тоже большой минус для тех, кому от системы нужно больше, чем браузер и Music.app.

vbr ★★★★
()
Последнее исправление: vbr (всего исправлений: 1)

Это ж надо настолько погано написать новость чтобы из этакой простыни текста было вообще непонятно что это.

Они переизобрели мастдайный UAC? Это специфичный для snap компонент?

Уж лучше бы с opennet скопипастил раз сам не умеешь.

zabbal ★★★★★
()

Она позволит пользователям контролировать, управлять и лучше понимать поведение приложений, работающих на их устройствах.

Т.е. убунта уже доросла до понимания что нужен AppArmor, но еще не доросла до того что он уже есть и не нужно изобретать велосипед.

Obezyan
()
Ответ на: комментарий от token_polyak

Нескучный гуй к AppArmor в openSuse, уже больше 10 лет. А это так, баловство.

Obezyan
()

Вообще годно. Пердолится в консоли и шарится по манам в поиске формата конфигов apparmor совсем не интересно. Но у меня арч, так что я в пролёте.

ox55ff ★★★★★
()
Ответ на: комментарий от MoldAndLimeHoney

Лучше btrfs впилить. Lvm костыли это прошлый век.

ox55ff ★★★★★
()
Ответ на: комментарий от MEZON

Но это же монтируемые образы, да ещё с изоляцией? А как на этот фокс какой нибудь лептон ставить или другой мод? Или почему они городят те же xdg-portal вместо нормального прямого взаимодействия с прочим софтом?

kirill_rrr ★★★★★
()
Ответ на: комментарий от kirill_rrr

Не понимаю чем, тебе мешает образ. Из пакетов, те же файлы, просто лежат в фс и не из-под рута тебе тоже придётся костылить к ним доступ.

MEZON ★★★★★
()
Ответ на: комментарий от MEZON

Так а здесь и у рута нет доступа. Плюс помойка. Плюс стрельба из пушки по воробьям - механизм разделяемых библиотек послан на 3 буквы максимально извращённым способом вместо того, чтобы просто статически слинковать все эти зависимости, которые так нереально сложно обслуживать. Плюс натягивание совы на глобус, когда сначала непредназначенный для изоляции софт принудительно изолируется, а потом костылится хз что для обхода изоляции чтобы не потерять функционал, который при появлении автоматом снова становится вектором для атаки, только теперь у нас 2 вектора на одну и ту же атаку и ещё пакет прослоек, совершенно не бесплатных.

А если действительно нужна изоляция, то хватит откапывать-закапывать стюардессу, ну напишите уже это самое приложение под универсальную кроссплатформенную виртуалку с какой нибудь псевдо-ОС внутри и оформите это как RFC. А то универсальные, мать их, пакеты, но только для убунту и только под амд64. А у меня НЕ убунту и НЕ амд64.

А потом всё заканчивается тем, что то ли убунту, то ли федора пакует в снап/флатпак отдельный пакет для набора стандартных адвайта-иконок...

kirill_rrr ★★★★★
()
Последнее исправление: kirill_rrr (всего исправлений: 3)
Ответ на: комментарий от kirill_rrr

Ну, почему же, в той же убунте есть core22, core24 итд, да и тот же кде разбит на отдельные снапы для qt, kf, и ещё отдельные приложения отдельно. Приведи пример куда что нужно костылить и зачем? Как по мне, если мы изолировали приложение, то пусть оно в изоляции и работает.

Опять же, есть всякий софт, который больше не поддерживается разработчиками или тех разрабов нет в живых, или код закрыт, или трудоёмко очень переносить. Тут отлично подходит бандлить всего старые зависимости и не жужжать, чем городить огород с виртуалками. Да с машина на машину потому проще пакет перекинуть, чем образ виртуальной машины.

И, кстати, флатпак уже научился работать без десктопа?

MEZON ★★★★★
()
Ответ на: комментарий от MEZON

Как по мне, если мы изолировали приложение, то пусть оно в изоляции и работает.

Но по факту мы не изолировали приложение! Мы собрали его из десятка снапов (привет пакеты, зависимости и разделяемые библиотеки) а чтобы это хоть что то могло делать - обвешали порталами, дбасами и прочими сложными прослойками, ни одна из которых не является безопастной а вместе это просто взрыв на макаронной фабрике.

Я не против изолировать браузер и почтовик в разные виртуалки, но собирать подобным образом ОС? В обход системного пакетного менеджера?! Что они вообще хотели получить на выходе? Очередной андроид что ли?

Тут отлично подходит бандлить всего старые зависимости и не жужжать

Я на примере флатпака прочувствовал насколько там всё отлично. Оно само себя собраь и запустить не может, в генту и войде по крайней мере зависимости нормально разрешаются и документация проще и понятней. А у этих упрощаторов зависимостей просто все зависимости оказались скрытыми - то архитектура не та, но версии ядра/месы/видеодрайвера не те, то железо не подходит, то репа не видится, то зависимость установи руками или настройки какого нибудь системного демона не те. Ради прикола, попробуй запустить флатпак для последней федоры на олдолдстэйбл дебиане на старой желехке в lxde - поймёшь почему идея изначально калечная.

А виртуалки нужны именно чтобы абстрагироваться и от железа и от ОС. По факту так проще, надёжней и безопастней. А потенциально ещё и терминалы на реальном железе будут автоматом получаться.

kirill_rrr ★★★★★
()
Последнее исправление: kirill_rrr (всего исправлений: 1)
Ответ на: комментарий от kirill_rrr

Мы собрали его из десятка снапов

Если очень хочется можно собрать 1 общий

обвешали порталами, дбасами и прочими сложными прослойками

Я бы не назвал стандартизированные десктопные достаточно простецкие технологии сложными прослойками

ни одна из которых не является безопастной

Для этого у нас есть аппармор. Тебе же не достаточно чтобы у твоей квартиры была дверь? Есть ещё замок, глазок, тамбур, домофон и дверь в парадной тоже с замком.

Что они вообще хотели получить на выходе?

АБ-обновление, например. Отказоустойчивость при потере питания так обеспечивается например. Возьми ту же стимос, там система обновляется скопом и есть флатпак для всего остального, а в убунтекор всё есть снап и это прекрасно.

насколько там всё отлично

Попробуй lddm Там запустить )))

в генту и войде по крайней мере зависимости нормально разрешаются

Если бы это было действительно так, то снап и флатпак никогда не появились бы.

… то железо не подходит, то репа не видится …

Ни разу не сталкивался. Что за дистр?

Ради прикола, попробуй

Флатпак достаточно ущербный. Тут ничего не поделаешь.

По факту так проще, надёжней и безопастней

Виртуалка даёт больше всего накладных расходов. Для решения одноминутной задачи это как стрелять из пушки по воробьям. Можно, конечно, просто очень дорого.

MEZON ★★★★★
()
Последнее исправление: MEZON (всего исправлений: 1)
Ответ на: комментарий от MEZON

Умеет жеж, там можно хоть доступ к шине ограничить, про расшаренные для каждого приложения папки я молчу.

Tsumi
()
Ответ на: комментарий от Tsumi

Это другой уровень. Функционал flatseal/bitwarden был в снапе ещё версии 1.0.

MEZON ★★★★★
()
Ответ на: комментарий от DumLemming

Зачем, если из снапа их можно воткнуть хоть на 22.04

MEZON ★★★★★
()
Для того чтобы оставить комментарий войдите или зарегистрируйтесь.