Firefox Sicherheitsfunktionen

[h264]

Hallo,
ich bekomme in letzter Zeit öfter diese Meldung

„einige Sicherheitsfunktionen von Firefox möglicherweise weniger Schutz auf Ihrem aktuellen Betriebssystem bieten“.
Was ist davon zu halten, was soll ich da tun ?

Vielen Dank

h264

[Webbutterfly]

Sicherheitsfunktionen-Warnung

[h264]

Hallo,
ich habe das so eingegeben, wie bei den Sicherheitswarnungen angegeben,
in /etc/apparmor.d/ eine Datei ich nehme an Textdatei mit dem Namen firefox-local (in Gedit erstellt, ohne Endung txt)
User Habe ich durch den Benutzernamen ersetzt

dann kam die Meldung
nach dem Befehl

Code: Alles auswählen

sudo systemctl restart apparmor.service

Job for apparmor.service failed because the control process exited with error code.
See "systemctl status apparmor.service" and "journalctl -xe" for details.

Ich hoffe, ich habe da nichts zerstört
Viele Grüße
h264

[Webbutterfly]

See "systemctl status apparmor.service" and "journalctl -xe" for details.

Hier steht ja, was kontrolliert werden soll warum es nicht funktioniert hat...

Code: Alles auswählen

systemctl status apparmor.service

Code: Alles auswählen

journalctl -xe

[h264]

Hallo,
ich habe den 1. Befehl noch einmal eingegeben, dann kam dass:

Code: Alles auswählen

apparmor.service - Load AppArmor profiles
     Loaded: loaded (/lib/systemd/system/apparmor.service; enabled; vendor pres>
     Active: failed (Result: exit-code) since Tue 2024-08-27 17:19:11 CEST; 1mi>
       Docs: man:apparmor(7)
             https://gitlab.com/apparmor/apparmor/wikis/home/
    Process: 982 ExecStart=/lib/apparmor/apparmor.systemd reload (code=exited, >
   Main PID: 982 (code=exited, status=1/FAILURE)
 Error: At least one>
 apparmor.service: Main process>
 apparmor.service: Failed with >
 Failed to start Load AppArmor >
lines 1-18/18 (END)

Dann habe ich den 2. Befehl eingegeben, dann hat er geschrieben alles sucessfully

Wahrscheinlich hätte ich das gleich machen sollen.
Was soll ich jetzt tun ?
Vielen Dank
h264

[Webbutterfly]

Was soll ich jetzt tun ?

schwierig, AppArmor wurde mal nicht gestartet

Code: Alles auswählen

....
Failed to start Load AppArmor 

AppArmor ist ein komplexes Sicherheitstool, da kann ich nicht so einfach übers Forum helfen
Aber über AppAmor gibt es hier eine Menge zu lesen

...gefundene Lösungen im Internet einfach auszuführen ist halt immer die schlechteste Idee, wenn man nicht weiß was sie bewirken... und vorher ein Sichern der zu bearbeitenden Dateien ist Grundvoraussetzung, sonst wird's schwierig wieder auf einen guten Zustand zurück zu kommen...

Außerdem steht in den von mir verlinkten Artikel so einiges mehr und es ist halt nicht egal wie der Firefox installiert wurde (In Ubuntu ist das ein Snap-Paket und macht teilweise so einige Schwierigkeiten)

PS: Ich verwende den Firefox nicht, kann daher auch keinerlei Aussagen über ihn machen...

Nachtrag:
auch wäre vorher zu überprüfen ob all die Angaben auch für das System passen...

Es wird davon ausgegangen, dass Firefox in $HOME/bin/ installiert ist.

nee, ist er nicht, liegt unter Ubuntu unter $Home/Snap/firefox

[h264]

Hallo,
wäre es sinnvoll den Firefox einfach zu deinstallieren und in dann wieder zu installieren ?
Ansonsten, welcher Browser wäre denn empfehlenswert, wenn man einen großen Wert auf Sicherheit legt ?
Viele Grüße
h264

[Juhu]

die Datei /wtc/appmor.d/firefox muss folgenden Inhalt haben

Code: Alles auswählen

# This profile allows everything and only exists to give the
# application a name instead of having the label "unconfined"
abi <abi/4.0>,
include <tunables/global>
profile firefox /usr/lib/firefox{,-esr,-beta,-devedition,-nightly}/firefox{,-esr,-bin} flags=(unconfined) {  userns,
  # Site-specific additions and overrides. See local/README for details.
  include if exists <local/firefox>
}

Da der Codeblock u,U einen Bug hat, hier nochmals als pre-Formatiert-Text

# This profile allows everything and only exists to give the
# application a name instead of having the label "unconfined"
abi <abi/4.0>,
include <tunables/global>
profile firefox /usr/lib/firefox{,-esr,-beta,-devedition,-nightly}/firefox{,-esr,-bin} flags=(unconfined) { userns,
# Site-specific additions and overrides. See local/README for details.
include if exists <local/firefox>
}

Vielleicht liegt es auch nur an meinem Browser. Wie auch immer, wenn die Datei so ausschaut und
die Rechte

root@Kirsche:/etc/apparmor.d# ls -l firefox
-rw-r--r-- 1 root root 396 Jul 15 00:25 firefox

sind. Dann fehlt noch ein restart des Systems oder des services.

Viel Erfolg

Für deine letzte Frage: welcher Browser.
Es gibt eigentlich nur mehr 3 wirkliche Browser-Engine
1. Microsoft --> Meiner Meinung nach ein klares Nein Danke
2. Chrome brasierend.
3. Firefox basierend
Chrome möchte gerne mit Google "nach Hause telefonieren". Das versuchen ihm einige Projekte abzugewöhnen. Brave und Vivaldi sind 2 Projekte die das versuchen.
Auch bei Firefox gibt es Derivate die es bessermachen ( wollen). Seamonkey ist eines davon.

Viel Spass beim Ausprobieren.
Achja dann gibt es noch Opera (hatte ich bald vergessen.)

[Webbutterfly]

heise.de: Chrome, Firefox, Opera & Co: Browser im Vergleich
(auch nicht mehr ganz aktuell, aber in einem Jahr ändert sich halt so einiges)
Browser Vergleich 2024

[Webbutterfly]

die Datei /wtc/appmor.d/firefox muss folgenden Inhalt haben

Die Datei gibt's nicht, bzw heißt es /etc/apparmor.d/...

---

so, ich habe zwei Rechner mit Ubuntu 22.04...
Auf einem gibts überhaupt kein Profil für Apparmor und auf dem anderen schaut es so aus:
Das Profil für den FF 125.0.2 (64-Bit) als Snap liegt in

Code: Alles auswählen

/etc/apparmor.d/usr.bin.firefox

und sieht so aus

► Text zeigen

# vim:syntax=apparmor
# Author: Jamie Strandboge <jamie@canonical.com>

# Declare an apparmor variable to help with overrides
@{MOZ_LIBDIR}=/usr/lib/firefox

#include <tunables/global>

# We want to confine the binaries that match:
# /usr/lib/firefox/firefox
# /usr/lib/firefox/firefox
# but not:
# /usr/lib/firefox/firefox.sh
profile firefox /usr/lib/firefox/firefox{,*[^s][^h]} {
#include <abstractions/audio>
#include <abstractions/cups-client>
#include <abstractions/dbus-strict>
#include <abstractions/dbus-session-strict>
#include <abstractions/dconf>
#include <abstractions/gnome>
#include <abstractions/ibus>
#include <abstractions/nameservice>
#include <abstractions/openssl>
#include <abstractions/p11-kit>
#include <abstractions/ubuntu-unity7-base>
#include <abstractions/ubuntu-unity7-launcher>

#include <abstractions/dbus-accessibility-strict>
dbus (send)
bus=session
peer=(name=org.a11y.Bus),
dbus (receive)
bus=session
interface=org.a11y.atspi**,
dbus (receive, send)
bus=accessibility,

# for networking
network inet stream,
network inet6 stream,
@{PROC}/[0-9]*/net/arp r,
@{PROC}/[0-9]*/net/if_inet6 r,
@{PROC}/[0-9]*/net/ipv6_route r,
@{PROC}/[0-9]*/net/dev r,
@{PROC}/[0-9]*/net/wireless r,
dbus (send)
bus=system
path=/org/freedesktop/NetworkManager
member=state,
dbus (receive)
bus=system
path=/org/freedesktop/NetworkManager,

# used by third_party/rust/audio_thread_priority
dbus (send)
bus=system
path=/org/freedesktop/RealtimeKit1,

# should maybe be in abstractions
/etc/ r,
/etc/mime.types r,
/etc/mailcap r,
/etc/xdg/*buntu/applications/defaults.list r, # for all derivatives
/etc/xfce4/defaults.list r,
/usr/share/xubuntu/applications/defaults.list r,
owner @{HOME}/.local/share/applications/defaults.list r,
owner @{HOME}/.local/share/applications/mimeapps.list r,
owner @{HOME}/.local/share/applications/mimeinfo.cache r,
/var/lib/snapd/desktop/applications/mimeinfo.cache r,
/var/lib/snapd/desktop/applications/*.desktop r,
owner /tmp/** m,
owner /var/tmp/** m,
owner /{,var/}run/shm/shmfd-* rw,
owner /{dev,run}/shm/org.{chromium,mozilla}.* rwk,
owner /{dev,run}/shm/wayland.mozilla.ipc.[0-9]* rw,
/tmp/.X[0-9]*-lock r,
/etc/udev/udev.conf r,
# Doesn't seem to be required, but noisy. Maybe allow 'r' for 'b*' if needed.
# Possibly move to an abstraction if anything else needs it.
deny /run/udev/data/** r,
# let the shell know we launched something
dbus (send)
bus=session
interface=org.gtk.gio.DesktopAppInfo
member=Launched,

/etc/timezone r,
/etc/wildmidi/wildmidi.cfg r,

# firefox specific
/etc/firefox*/ r,
/etc/firefox*/** r,
/etc/xul-ext/** r,
/etc/xulrunner-2.0*/ r,
/etc/xulrunner-2.0*/** r,
/etc/gre.d/ r,
/etc/gre.d/* r,

# noisy
deny @{MOZ_LIBDIR}/** w,
deny /usr/lib/firefox-addons/** w,
deny /usr/lib/xulrunner-addons/** w,
deny /usr/lib/xulrunner-*/components/*.tmp w,
deny /.suspended r,
deny /boot/initrd.img* r,
deny /boot/vmlinuz* r,
deny /var/cache/fontconfig/ w,
deny @{HOME}/.local/share/recently-used.xbel r,

# TODO: investigate
deny /usr/bin/gconftool-2 x,

# These are needed when a new user starts firefox and firefox.sh is used
@{MOZ_LIBDIR}/** ixr,
/usr/bin/basename ixr,
/usr/bin/dirname ixr,
/usr/bin/pwd ixr,
/sbin/killall5 ixr,
/bin/which ixr,
/usr/bin/tr ixr,
@{PROC}/ r,
@{PROC}/[0-9]*/cmdline r,
@{PROC}/[0-9]*/mountinfo r,
@{PROC}/[0-9]*/stat r,
owner @{PROC}/[0-9]*/task/[0-9]*/stat r,
@{PROC}/[0-9]*/status r,
@{PROC}/filesystems r,
@{PROC}/sys/vm/overcommit_memory r,
# prevent crash LP: #1931602
/sys/devices/pci[0-9]*/**/{uevent,resource,irq,class} r,
/sys/devices/platform/**/uevent r,
/sys/devices/pci*/**/{busnum,idVendor,idProduct} r,
/sys/devices/pci*/**/{,subsystem_}device r,
/sys/devices/pci*/**/{,subsystem_}vendor r,
/sys/devices/system/node/node[0-9]*/meminfo r,
owner @{HOME}/.cache/thumbnails/** rw,

/etc/mtab r,
/etc/fstab r,

# Needed for the crash reporter
owner @{PROC}/[0-9]*/environ r,
owner @{PROC}/[0-9]*/auxv r,
/etc/lsb-release r,
/usr/bin/expr ix,
/sys/devices/system/cpu/ r,
/sys/devices/system/cpu/** r,

# about:memory
owner @{PROC}/[0-9]*/statm r,
owner @{PROC}/[0-9]*/smaps r,

# Needed for container to work in xul builds
/usr/lib/xulrunner-*/plugin-container ixr,

# allow access to documentation and other files the user may want to look
# at in /usr and /opt
/usr/ r,
/usr/** r,
/opt/ r,
/opt/** r,

# so browsing directories works
/ r,
/**/ r,

# Default profile allows downloads to ~/Downloads and uploads from ~/Public
owner @{HOME}/ r,
owner @{HOME}/Public/ r,
owner @{HOME}/Public/* r,
owner @{HOME}/Downloads/ r,
owner @{HOME}/Downloads/* rw,

# per-user firefox configuration
owner @{HOME}/.{firefox,mozilla}/ rw,
owner @{HOME}/.{firefox,mozilla}/** rw,
owner @{HOME}/.{firefox,mozilla}/**/*.{db,parentlock,sqlite}* k,
owner @{HOME}/.{firefox,mozilla}/plugins/** rm,
owner @{HOME}/.{firefox,mozilla}/**/plugins/** rm,
owner @{HOME}/.gnome2/firefox* rwk,
owner @{HOME}/.cache/mozilla/{,firefox/} rw,
owner @{HOME}/.cache/mozilla/firefox/** rw,
owner @{HOME}/.cache/mozilla/firefox/**/*.sqlite k,
owner @{HOME}/.config/gtk-3.0/bookmarks r,
owner @{HOME}/.config/dconf/user w,
owner /{,var/}run/user/*/dconf/user w,
dbus (send)
bus=session
path=/org/gnome/GConf/Server
member=GetDefaultDatabase
peer=(label=unconfined),
dbus (send)
bus=session
path=/org/gnome/GConf/Database/*
member={AddMatch,AddNotify,AllEntries,LookupExtended,RemoveNotify}
peer=(label=unconfined),
dbus (send)
bus=session
path=/org/gtk/vfs/mounttracker
interface=org.gtk.vfs.MountTracker
member=ListMountableInfo
peer=(label=unconfined),

# Allow access to xdg-desktop-portal and xdg-document-portal (LP: #1974449)
dbus (receive, send)
bus=session
interface=org.freedesktop.portal.*
path=/org/freedesktop/portal/{desktop,documents}{,/**}
peer=(label=unconfined),

dbus (receive, send)
bus=session
interface=org.freedesktop.DBus.Properties
path=/org/freedesktop/portal/{desktop,documents}{,/**}
peer=(label=unconfined),

# Allow remote control when running on Wayland
dbus (send)
bus=session
path=/org/freedesktop/DBus
interface=org.freedesktop.DBus
member=RequestName
peer=(name=org.freedesktop.DBus),
dbus (bind)
bus=session
name=org.mozilla.firefox.*,
dbus (send, receive)
bus=session
path=/org/mozilla/firefox/Remote
interface=org.mozilla.firefox
member=OpenURL
peer=(label=firefox),

# gnome-session
dbus (send)
bus=session
path=/org/gnome/SessionManager
interface=org.gnome.SessionManager
member={Inhibit,Uninhibit}
peer=(label=unconfined),

# unity screen API
dbus (send)
bus=system
interface="org.freedesktop.DBus.Introspectable"
path="/com/canonical/Unity/Screen"
member="Introspect"
peer=(label=unconfined),
dbus (send)
bus=system
interface="com.canonical.Unity.Screen"
path="/com/canonical/Unity/Screen"
member={keepDisplayOn,removeDisplayOnRequest}
peer=(label=unconfined),

# freedesktop.org ScreenSaver
dbus (send)
bus=session
path=/{,org/freedesktop/,org.gnome/}Screen{s,S}aver
interface=org.freedesktop.ScreenSaver
member={Inhibit,UnInhibit,SimulateUserActivity}
peer=(label=unconfined),

# gnome, kde and cinnamon screensaver
dbus (send)
bus=session
path=/{,ScreenSaver}
interface=org.{gnome.ScreenSaver,kde.screensaver,cinnamon.ScreenSaver}
member=SimulateUserActivity
peer=(label=unconfined),

# UPower
dbus (send)
bus=system
path=/org/freedesktop/UPower
interface=org.freedesktop.UPower
member=EnumerateDevices
peer=(label=unconfined),

# File browser
dbus (send)
bus=session
interface=org.freedesktop.FileManager1
path=/org/freedesktop/FileManager1
member=ShowItems,

#
# Extensions
# /usr/share/.../extensions/... is already covered by '/usr/** r', above.
# Allow 'x' for downloaded extensions, but inherit policy for safety
owner @{HOME}/.mozilla/**/extensions/** mixr,

deny @{MOZ_LIBDIR}/update.test w,
deny /usr/lib/mozilla/extensions/**/ w,
deny /usr/lib/xulrunner-addons/extensions/**/ w,
deny /usr/share/mozilla/extensions/**/ w,
deny /usr/share/mozilla/ w,

# Miscellaneous (to be abstracted)
# Ideally these would use a child profile. They are all ELF executables
# so running with 'Ux', while not ideal, is ok because we will at least
# benefit from glibc's secure execute.
/usr/bin/mkfifo Uxr, # investigate
/bin/ps Uxr,
/bin/uname Uxr,

/usr/bin/lsb_release Cxr -> lsb_release,
profile lsb_release {
#include <abstractions/base>
#include <abstractions/python>
/usr/bin/lsb_release r,
/bin/dash ixr,
/usr/bin/dpkg-query ixr,
/usr/include/python2.[4567]/pyconfig.h r,
/etc/lsb-release r,
/etc/debian_version r,
/usr/share/distro-info/*.csv r,
/var/lib/dpkg/** r,

/usr/local/lib/python3.[0-9]/dist-packages/ r,
/usr/bin/ r,
/usr/bin/python3.[0-9] mr,

# file_inherit
deny /tmp/gtalkplugin.log w,
}

# Addons
#include <abstractions/ubuntu-browsers.d/firefox>

# Site-specific additions and overrides. See local/README for details.
#include <local/usr.bin.firefox>

Quelle: askubuntu.com
How would i enable the Firefox apparmor profile in 22.04

PS: Nochmals,ich verwende den FF nicht, habe ihn aber installiert..