%20%EC%A0%9C%ED%95%9C%EB%90%9C%20%ED%94%84%EB%A1%9C%EA%B7%B8%EB%9E%A8%EC%9D%B4%20%EB%8B%A4%EB%A5%B8%20%EB%AC%B4%EC%A0%9C%ED%95%9C%20%EB%B0%94%EC%9D%B4%EB%84%88%EB%A6%AC%EB%A5%BC%20%EC%8B%A4%ED%96%89%ED%95%98%EB%8F%84%EB%A1%9D%20%ED%97%88%EC%9A%A9%ED%95%98%EB%A9%B4%20%EB%B3%B4%EC%95%88%EC%9D%B4%20%EC%86%90%EC%83%81%EB%90%A9%EB%8B%88%EA%B9%8C%3F.png)
나는 최근 SELinux와 AppArmor에 대해 배우려고 노력했고 단순성 때문에 AppArmor를 사용하기로 결정했습니다. aa-genprof 및 aa-logprof를 사용하여 일부 구성 파일을 작성하기 시작했지만 firefox와 같은 대규모 프로그램은 다른 많은 바이너리를 실행하므로 각 바이너리에 대한 구성 파일을 작성할 시간이 없습니다. 유일한 해결책은 다른 바이너리를 제한 없이 실행하도록 하는 것 같지만 이로 인해 이 문제가 깨질까 걱정됩니다.
그렇다면 제한된 프로그램이 다른 제한되지 않은 프로그램을 실행하도록 해도 괜찮을까요? 예를 들어, 공격자가 제한되지 않은 새로운 프로세스가 갖는 모든 권한에 액세스할 수 있습니까?
편집: 자녀 프로필만 사용하면 자녀 프로필에는 부모의 필수 기능에 대한 권한만 필요하기 때문에 전체 내용을 작성할 필요가 없다는 것을 방금 알게 되었습니다.
편집: 또한 제한 없이 실행되는 스크립트에 PATH 변수가 설정되지 않은 경우 공격자가 제한된 환경에서 PATH를 설정하고 필요한 스크립트와 동일한 이름을 가진 스크립트를 생성할 수 있다는 위험 중 하나가 있다는 기사도 읽었습니다. 스크립트 중 하나입니다.