☰

Como personalizar localmente um perfil de apparmor?

tag-icon • tag-icon firefox 14.10 dbus apparmor
Como personalizar localmente um perfil de apparmor?

Eu gostaria de executar o Firefox com o perfil apparmor aa-enforce(d). Isso funciona bem, exceto que tenho um plugin que precisa de acesso ao chaveiro via dbus. Quando o plug-in (https://github.com/swick/moz-gnome-keyring-integration) tenta acessar o chaveiro, recebo esta mensagem nos logs:

[ apparmor="DENIED" operation="dbus_method_call" bus="session" path="/org/freedesktop/secrets" interface="org.freedesktop.DBus.Properties" member="Get" mask="send" name="org.freedesktop.secrets" pid=20004 profile="/usr/lib/firefox/firefox{,*[^s][^h]}" peer_pid=2810 peer_profile="unconfined"]

Então estou tentandoconceder acesso dbusao meu perfil do firefox, sem alterar o perfil base fornecido pelo pacote apparmor-profies, então modifiquei o arquivo em /etc/apparamor.d/local/usr.bin.firefox.

Aqui está o que eu tentei:

# Site-specific additions and overrides for usr.bin.firefox.
# For more details, please see /etc/apparmor.d/local/README.
# Allow gnome keyring integration to work
/usr/lib/firefox/firefox{,*[^s][^h]} {
  dbus (send,receive)
    bus=session
    interface=org.freedesktop.DBus.Properties
    path=/org/freedesktop/secrets,
}

mas, então, em aa-enforce usr.bin.firefox, recebo este erro:

apparmor.common.AppArmorException: 'local/usr.bin.firefox profile in local/usr.bin.firefox contains syntax errors in line: 4.'

Esta é a primeira vez que tento criar ou modificar um perfil de apparmor e estou preso aqui... Qual deve ser a sintaxe?

EDIT: usando apparmor_parser, recebi outra informação:

AppArmor parser error for /etc/apparmor.d/usr.bin.firefox in /etc/apparmor.d/local/usr.bin.firefox at line 4: syntax error, unexpected TOK_OPEN, expecting TOK_MODE

Então, TOK_OPEN inesperado, esperando TOK_MODE... ainda não tenho ideia do que isso significa.

EDIT2: Tentei a mesma estrofe diretamente no perfil /etc/apparmor.d/usr.bin.firefox e funcionou. Então o problema tem a ver com usar a customização local...

Responder1

O problema surge dos colchetes de abertura ( {e }). A #includeinstrução já está dentro da declaração do perfil principal, portanto os colchetes não são obrigatórios.

# Site-specific additions and overrides for usr.bin.firefox.
# For more details, please see /etc/apparmor.d/local/README.
# Allow gnome keyring integration to work

dbus (send,receive)
  bus=session
  interface=org.freedesktop.DBus.Properties
  path=/org/freedesktop/secrets,

informação relacionada