"Apparmor" issues in newer Ubuntu releases (NOTE, this discussion is also in "italian" language, but you can join in English and use a translator)

[vitforlinux-gimp]

Dopo aver tolto apparmor mi è venuta la curiosità di capire come funziona, e se c'è una possibilità di far funzionare AM... malgrado Ubuntu e Apparmor. Per prima cosa ho rievocato la memeoria di Fedora, e di come avevo abilitato apparmor... c'è anche un modo per notificare cosa sta succedendo: installare apparmor-notify e riavviare.

E in effetti c'è un modo, bisogna mettere un file in /etc/apparmor.d/ e poi il suo nome, qui il file per Google-Chrome in /opt/google-chrome/google-chrome installato con AM. L'autorizzazione si basa su nome file e posizione, niente cifre strane.

abi <abi/4.0>,

include <tunables/global>

/opt/google-chrome/google-chrome flags=(default_allow) {
  userns,

  # Site-specific additions and overrides. See local/README for details.
  include if exists </opt/google-chrome/google-chrome>
}

Dopo aver messo il file in /etc/apparmor.d/ bisogna riavviare apparmor, su systemd
sudo systemctl reload apparmor
Rimane da studiare come riavviare apparmor con altri init.

Ciao!

[ivan-hc]

Interessante analisi. Permettimi di cambiare il titolo, così da poter coinvolgere altri utenti.

[vitforlinux-gimp]

Certo, considera che basta essere in grado di creare e scrivere i file e poi ricaricare apparmor... non è difficile, fosse Febbraio lo staremmo già facendo.
Ciao!

[Samueru-sama]

This basically means that AM would have to create a unique file for every app installed.

I think a simpler solution is to simply disable the restriction by running:

sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=0
sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=0

@vitforlinux-gimp Can you confirm that method works?

[vitforlinux-gimp]

@Samueru-sama
(ENGLISH-matic)
Disabling Apparmor is a simple solution... but Apparmor is something that resembles an antivirus, and on Linux you need protection, even if it doesn't seem like it, at least until a virus strikes.

To me it seems better to make a tailor-made authorization for the Appimage that is installed... and be more protected.
(ITALIAN)
Disabilitare Apparmor è una soluzione semplice... ma Apparmor è una cosa che somiglia a un antivirus, e su Linux di protezione si ha bisogno, anche se non sembra, almeno fino a quando un virus non colpisce.

A me sembra meglio fare un'autorizzazione su misura per l'Appimage che si è installata... ed essere più protetti.

[Samueru-sama]

@Samueru-sama (ENGLISH-matic) Disabling Apparmor is a simple solution... but Apparmor is something that resembles an antivirus, and on Linux you need protection, even if it doesn't seem like it, at least until a virus strikes.

To me it seems better to make a tailor-made authorization for the Appimage that is installed... and be more protected. (ITALIAN) Disabilitare Apparmor è una soluzione semplice... ma Apparmor è una cosa che somiglia a un antivirus, e su Linux di protezione si ha bisogno, anche se non sembra, almeno fino a quando un virus non colpisce.

A me sembra meglio fare un'autorizzazione su misura per l'Appimage che si è installata... ed essere più protetti.

That doesn't disable appamor, it disables the recent restriction that apparmor put in user namespaces.

Apparmor causes many issues and recently solus is removing it

[vitforlinux-gimp]

@Samueru-sama (ENGLISH-matic)
Even antiviruses cause problems... yet if you use Windows without protection it lasts from Monday to Thursday.

I have a hosts file with about 400,000 blocked sites... just to protect me when I make a mistake while browsing... thanks to hblock.

Security is inconvenient, but useful, here on GitHub we have 2FA... which is annoying, but this makes it more difficult for repos to fall into the wrong hands.

Apparmor is a pain when you want to keep an appimage on the desktop... but if AM learns to make the right file in /etc/apparmor.d/ users will be protected and the appimage will run.

Over the years I've known people who click on anything and fill windows with dirt... and at a certain point they bought a MAC, saying "Mac doesn't get viruses", and then they went back to Windows because they managed to get a virus with the MAC.

With Linux we need more responsibility... there is no antivirus to protect the system that is comparable to those for Windows, which have years of daily development.

However, if someone doesn't like AppArmor they are free to uninstall it on their computer... but if there are consequences they will have to remain silent, while those who create a distro have the duty to protect users, given that some don't even know what the difference is between one operating system and another, and they think that Xubuntu is a free version of Windows.
(ITALIAN)
Anche gli antivirus causano problemi... eppure se si usa Windows senza protezioni dura dal lunedi al giovedi.

Ho un file hosts con circa 400.000 siti bloccati... proprio per proteggermi quando sbaglio a navigare... grazie ad hblock.

La sicurezza è scomoda, ma utile, qui su GitHub abbiamo la 2FA... che è noisa, ma così è più difficlie che i repo cadano in mani sbagliate.

Apparmor è una difficoltà quando si vuol tenere una appimage sul desktop... ma se AM impara a fare il giusto file in /etc/apparmor.d/ gli utenti saranno protetti e la appimage eseguita.

Negli anni ho conosciuto persone che cliccano qualsiasi cosa e riempiono windows di sporco... e a un certo punto hanno comprato un MAC, dicendo "il mac non prende i virus", e poi sono tornati a Windows perché sono riusciti a prendere un virus con il MAC.

Con Linux ci vuole più responsabilità... non c'è un antivirus a proteggere il sistema che sia paragonabile a quelli per windows., che hanno anni di sviluppo quotidiano.

Comunque se a qualcuno AppArmor non piace è libero di disinstallarlo sul suo computer... ma se ci saranno conseguenze dovrà tacere, mentre chi fa una distro ha il dovere di proteggere gli utenti, dato che alcuni non sanno neppure che differenza c'è tra un sistema operativo e un altro, e pensano che Xubuntu sia una versione gratis di Windows.

[ivan-hc]

ho appena letto il tuo post sul tuo blog https://vitforlinux.wordpress.com/2024/07/18/come-autorizzare-lesecuzione-di-un-appimage-sul-desktop-in-modo-che-apparmor-non-la-blocchi/

interessante, ora capisco perchè su Fedora (in Virtualbox) ricevo spesso degli errori sotto forma di notifica

[Samueru-sama]

Even antiviruses cause problems... yet if you use Windows without protection it lasts from Monday to Thursday.

Once again said change doesn't disable apparmor. It disables the usernamespaces restrictions that ubuntu recently put in place.

There has been some exploits that may allow for malware to gain root access, the thing is that on linux for a desktop user if you get malware it really doesn't matter if it has root access or not, said malware already has access to everything that your regular user has read and write access to, which on linux is a lot, all of your home and all your external partitions usually.

If you want to actually do something that helps, consider using aisap sandbox in the appimages which AM has an easy way to setup or even flatpak as well, both use bubblewrap for sandboxing of applications, in which case malware is actually contained if you use the right sandbox permissions.

Both of those methods also get broken by ubuntus push of their apparmor. No wonder people are dropping apparmor and snap support in favor of flatpak because it is just a hassle with no benefit, if distributions don't want to bother with that, what do you expect us to do? Not even the kernel developers want those apparmor patches either.

Web browsers themselves have a built in sandbox to precisely prevent this, and this recent restriction that ubuntu made means that people will likely instead launch the web browser with the --no-sandbox flag which is way worse.

---

Also I just read the blogpost link that Ivan put, you allowed access to an appimage that is in your $HOME, you are actually not doing much, because malware can replace the appimage for itself to gain userns access, the restriction only makes sense if you allow programs that are not owned by your regular user, because in that case malware would need root to replace the application that has access allowed by apparmor, and once again if you get to that point you are fucked beyond salvation anyway.

I will conclude this with this xkcd, replace steal for malware: https://xkcd.com/1200/

[vitforlinux-gimp]

(ENGLISH-matic)
I don't think most people who use Linux launch their browser from the terminal, or find out which package they need to remove.

Now I have a bash file that has the "stuffing" of what I want to put in /etc/apparmor.d/ I just have to commit to the crust and a good bake.

However, something useful or wrong always comes from collaboration... but the important thing is to collaborate.
(ITALIAN)
Io non credo che la maggior parte delle persone che usa linux avvi il browser dal terminale, o che si informi su quale pacchetto deve togliere.

Ora ho un file file bash che ha il "ripieno" di quello che voglio mettere in /etc/apparmor.d/ devo solo impegnarmi per la crosta e una buona cottura.

Comunque dalla collaborazione viene sempre qualcosa di utile, o sbagliato... ma l'importante è collaborare.

CIAO!

[vitforlinux-gimp]

TUTTO FINITO

Ieri ho aggiornato Mint 22 Wilma oggi ho ri-fatto le prove, si può tenere un'appimage sul desktop e se si usa AM funziona anche Gimp 2.99.19 r988. Non ci sono più errori di bwrap (bubblewrap)
IL BELLO DI LINUX È CHE BASTA AGGIORNARE.

ALL FINISHED

Yesterday I updated Mint 22 Wilma today i have re-did the tests, you can keep an appimage on the desktop and if you use AM Gimp 2.99.19 r988 also works. No bwrap (bubblewrap) errors
THE BEAUTIFUL ABOUT LINUX IS THAT YOU JUST NEED TO UPDATE.

[Samueru-sama]

That's because mint removed the changes that ubuntu did after this bug report: linuxmint/mint22-beta#82

Here is what /etc/sysctl.d/20-apparmor-mint.conf contains:

# Allow the use of unprivileged user namespaces
# See https:/linuxmint/mint22-beta/issues/82.
kernel.apparmor_restrict_unprivileged_userns = 0

They did what I suggested originally lol

[ivan-hc]

@vitforlinux-gimp Linux Mint è Ubuntu fatta bene

@Samueru-sama Linux Mint es Ubuntu bien hecho

@Anyone-else Linux Mint is Ubuntu done right

[vitforlinux-gimp]

Quando Mint ha cominciato era Ubuntu con più problemi... si vede che tanti difetti hanno insegnato a ridurli.

When Mint started it was Ubuntu with more problems... you can see that many defects have taught us how to reduce them.

[vitforlinux-gimp]

No, niente errori di bwrap anche in Ubuntu 24.04

No bwrap errors also in Ubuntu 24.04