Embora eu goste imensamente do leitor de feeds padrão do
KDE, o
Akregator, e até já tenha publicado aqui um
perfil do apparmor para ele, o fato de que ele compartilha as configurações de rede do sistema com o
Konqueror cria um problema incontornável quando se quer acessar os feeds através de um proxy como o
Tor,
Privoxy ou
Jondo sem provocar mudanças em outras áreas do sistema, como o download de atualizações ou, até mesmo, a navegação não-privativa através dos navegadores
Chromium ou
Google Chrome. Assim, decidi adotar o leitor de feeds do
GNOME, o
Liferea, pois ele permite uma configuração de rede/proxy independente do restante do sistema e funciona (quase) tão bem quanto o Akregator no ambiente KDE.
O Liferea estava funcionando muito bem na
sandbox Firejail, mas decidi "apertar" um pouco mais a configuração de segurança criando um perfil do apparmor para o Liferea que compartilho abaixo, sempre lembrando que não garanto que vá funcionar no seu sistema!
Observação: todo o conteúdo deste ponto em diante foi atualizado no dia 11/08/2018. Incluí, no perfil, alguns números com observações em destaque sob fundo amarelo, por exemplo "#2". Lembre-se de deletar essas observações antes de salvar o arquivo do apparmor em que testará este código.
| ADVERTÊNCIA: o perfil abaixo está funcionando perfeitamente em meu computador com Debian 9.5 / Kernel: Linux 4.9.0-7-amd64 (x86_64) e Liferea 1.12-rc3 e ambiente desktop LXDE 9, MAS NÃO OFERECO NENHUMA GARANTIA DE QUE VÁ FUNCIONAR EM SEU COMPUTADOR.
Caso deseje testar o perfil abaixo, faça-o por sua conta e risco, de
preferência, tomando todas as precauções necessárias, inclusive backups
de todos os arquivos relevantes. |
nome do arquivo: usr.bin.liferea
# Last Modified: Sat Jul 14 17:42:29 2018
#include <tunables/global>
/usr/bin/liferea {
#include <abstractions/audio>
#include <abstractions/base>
#include <abstractions/homedirs>
# 1
#include <abstractions/totem>
/dev/shm/* rw,
/etc/fonts/** r,
/etc/gai.conf r,
/etc/host.conf r,
/etc/hosts r,
/etc/nsswitch.conf r,
/etc/resolv.conf r,
/etc/services r,
/etc/ssl/certs/ca-certificates.crt r,
/etc/udev/udev.conf r,
/home/*/.Xauthority r,
/home/*/.cache/gstreamer-1.0/* rw,
/home/*/.cache/gtk-3.0/ rw,
/home/*/.cache/gtk-3.0/** r,
/home/*/.cache/gtk-3.0/compose/ rw,
/home/*/.cache/liferea/** rw,
/home/*/.cache/webkitgtk/ w,
/home/*/.cache/webkitgtk/* rw,
/home/*/.config/dconf/user r,
/home/*/.config/liferea/* rw,
/home/*/.local/share/gsettings-data-convert r,
/home/*/.local/share/icons/ r,
/home/*/.local/share/icons/**/ r,
/home/*/.local/share/liferea/ r,
/home/*/.local/share/liferea/* rwk,
/home/*/.local/share/mime/aliases r,
/home/*/.local/share/mime/generic-icons r,
/home/*/.local/share/mime/globs2 r,
/home/*/.local/share/mime/icons r,
/home/*/.local/share/mime/magic r,
/home/*/.local/share/mime/mime.cache r,
/home/*/.local/share/mime/subclasses r,
/home/*/.local/share/webkitgtk/localstorage/ r,
/home/*/.local/share/webkitgtk/localstorage/* rwk,
/home/alexei/.local/share/liferea/* rw,
/lib/x86_64-linux-gnu/ld-*.so mr,
/opt/google/chrome/google-chrome Px,
/proc/*/fd/ r,
/proc/*/mounts r,
/proc/*/status r,
/run/connman/resolv.conf r,
/run/user/1000/dconf/user rw,
/sys/devices/** r,
/usr/bin/gsettings-data-convert Px,
/usr/bin/liferea mr,
/usr/bin/uget-gtk Px,
# 2
/usr/lib/firefox-esr/firefox-esr Px,
# 3
/usr/lib/x86_64-linux-gnu/gstreamer1.0/gstreamer-1.0/gst-plugin-scanner rix,
/usr/lib/x86_64-linux-gnu/webkit2gtk-4.0/WebKitNetworkProcess Px,
/usr/lib/x86_64-linux-gnu/webkit2gtk-4.0/WebKitPluginProcess Px,
/usr/lib/x86_64-linux-gnu/webkit2gtk-4.0/WebKitWebProcess Px,
/usr/share/fontconfig/** r,
/usr/share/fonts/** r,
/usr/share/icons/** r,
/usr/share/javascript/mathjax/fonts/** r,
/usr/share/liferea/** r,
/usr/share/poppler/cMap/*/ r,
/var/cache/fontconfig/* r,
/var/lib/menu-xdg/applications/mimeinfo.cache r,
/var/tmp/* rw,
/{usr/,}lib{,32,64}/** mr,
}
Observações:
#1 Arquivo de abstrações personalizado com autorizações automáticas para certos subdiretórios de /home/ que não oferecem risco de segurança. Sugiro que você experimente criar suas próprias abstrações, usando uma das opções
default do
apparmor como modelo.
#2 Só é possível fazer downloads no navegador do Liferea usando um gerenciador de downloads. Uso o uget, mas você deve sentir-se livre para usar ou testar outras opções, não esquecendo de autorizá-las neste perfil.
#3 O Firefox-esr é meu navegador default mas, caso vocẽ defina outra opção nas configurações do Liferea, deve lembrar-se de autorizá-lo no perfil do Apparmor.
