Как защитить некоторые файлы от приложения на уровне пользователя?

Question

В многопользовательской системе Ubuntu, как я могу дать своим пользователям способ выполнять загруженные приложения таким образом, чтобы приложение не имело доступа ко всем файлам, кроме указанного белого списка (который отличается для каждого приложения), и который не ' t (сильно) увеличить системные ресурсы?

Некоторые пользователи скачивают и "устанавливают" (что означает распаковать в ~/bin) множество приложений. Цель состоит в том, чтобы запустить эти приложения таким образом, чтобы эти приложения могли получить доступ только к указанным пользователем каталогам с конфигурацией конкретного приложения, рабочими данными и т.д., Но не с ключами, личными фотографиями, внутренними данными других таких приложений и т.д. Каждое Приложение должно иметь свой собственный белый список.

Но эти пользователи не могут ни изменять систему, ни получать доступ к файлам других пользователей. (Т.е. эти пользователи не должны получать права root. Они не администраторы.)

Answer 1

AppArmor, кажется, именно то, что вы ищете: из Википедии:

AppArmor ("Application Armor") - это модуль безопасности ядра Linux, который позволяет системному администратору ограничивать возможности программ с помощью профилей для каждой программы. Профили могут предоставлять такие возможности, как доступ к сети, доступ к необработанным сокетам, а также разрешение на чтение, запись или выполнение файлов по соответствующим путям.

AppArmor является установкой по умолчанию в Ubuntu, и для некоторых приложений существуют профили (например, Firefox).

Существует Вика здесь. Вы можете просмотреть профили, уже определенные в вашей системе (etc/apparmor.d), но избегайте Firefox, который более сложен, чем большинство.