Gostaria de limitar um usuário Linux a um único aplicativo ou atividade do navegador. Tenho dados confidenciais no sistema, portanto, o usuário (cliente) não deve poder fazer mais nada (nenhum terminal/editor, etc.). Como eu poderia me aproximar desse objetivo?
Responder1
Se você tiver arquivos confidenciais, comece protegendo-os. Isso deve ser feito mesmo que você não pretenda permitir que outros usuários acessem o sistema.
Linux/Unix possui um forte sistema de permissões. Certifique-se de que nenhum dos arquivos confidenciais possa ser lido por others. Isso pode ser feito restringindo o acesso a qualquer diretório ao longo do caminho.
Não é incomum definir as permissões nos diretórios iniciais para 700que apenas o usuário e o root vejam o conteúdo. Configure seu usuário restrito com seu próprio grupo, que em algumas distribuições é o padrão.
Audite seu sistema para ver quais arquivos podem ser acessados com otherspermissões.
Se alguns dos dados confidenciais estiverem em um banco de dados, audite suas permissões.
Se você permitir que o usuário acesse um navegador, ele normalmente poderá navegar no sistema de arquivos. Além do modo quiosque, você pode considerar usar um chrootpara restringi-los a uma pequena parte do sistema. Isso pode ser difícil de configurar para um ambiente X-window, pois precisa de um bom número de arquivos e dispositivos. Eu esperaria que um xguestperfil permitisse acesso aos mesmos arquivos e diretórios do ambiente chroot. Você pode combinar abordagens para implementar Defesa em Profundidade.
É relativamente fácil tentar restringir um usuário do X-window a um único aplicativo. Basta iniciar esse aplicativo em vez de iniciar um gerenciador de janelas. Contanto que esse aplicativo não possa iniciar outros aplicativos, você os restringiu a esse aplicativo. Explore os recursos desse aplicativo, pois ele pode navegar e possivelmente executar arquivos. Possui um kioskmodo destinado a restringir o acesso.
Se houver falhas na configuração, o usuário poderá escapar da prisão. Usei alguns truques para obter acesso a exploreroutras ferramentas em um sistema Windows supostamente bloqueado. É aqui que as permissões corretas de arquivos e diretórios entram em vigor.
Responder2
1. Mantenha os dados confidenciais em uma unidade externa.
Minha experiência diz que o Firefox pode gerar processos ssh e tentar se conectar com IPs maliciosos. Por um ano usando o Firefox, tive cerca de 200 tentativas. Portanto, se possível, mantenha os dados confidenciais em uma unidade externa ou gere o Firefox como outro usuário.
2. Adicione um segundo usuário.
A questão do OP não é direta, porque não sabemos se ele também usará este PC. Portanto, crie outro usuário e instale o Windows Manager, algo como o fluxbox deve ser suficiente.
3. Execute 'navegador startx' apenas, para o segundo usuário.
Então, para o segundo usuário, você pode editar (no meu caso, estou usando lxqt): ./etc/X11/xinit/xinitrc.lxqtou ./usr/bin/startlxqte adicionar seu navegador.
4. Se você quiser apenas um sistema operacional de quiosque, tenteporteus
Qual é o problema, se você quiser que eu estenda minha resposta é só perguntar.