Je suis entièrement d’accord avec ce point, mais pour cloisonner il y a d’autres solutions (Firejail, Appimage, Flatpak…) et de mon point de vue personnel, l’énormité des paquets snap associée à la mainmise de M. Shuttleworth sur son futur magasin aux applications me fait rejeter absolument snap en dernière position…
2 J'aime
Exactement, personnellement les personnes de mon entourage n’utilisent finalement que le web, la messagerie, et du traitement de texte; utilisation qui sont largement remplies par Firefox, Thunderbird et LibreOffice; le cas échéant du Chrome pour certains sites mal conçus pour Firefox.
C’est l’utilisation qui détermine ce qu’on doit faire; mais les utilisations en majorité sont de faible niveau.
Pour la sécurité malheureusement, on ne peut plus la considérer du point de vue de l’utilisateur, qui avec des snaps et autres, mal sécurisés demande des actions qui ne relèvent plus d’un débutant quoi qu’on lui installe.
1 J'aime
Pour entrer un peu plus dans le détail, par exemple, Firejail doit être questionné quant aux droits qu’il utilise : en gros, ça tourne en « root », donc une faille exploitée et c’est Game over…
Je ne vais pas détailler toutes les solutions, sauf si demande 
, mais en résumé, pas de solution miracle pour le moment, et Snap associé à AppArmor est une solution pertinente si associée à un durcissement rigoureux du système.
Entièrement d’accord. Un Snap sans un confinement strict via AppArmor, c’est à fuir. Ce qui peut être dangereux pour le débutant qui utilise le store Ubuntu aveuglement et qui donc prendre un risque important 
En parlant de confinement AppArmor, c’est aussi sur les flatpak ce confinement ? ou juste les snap ? Et comment vérifier ce type de sécurité quand on installé un flatpak ou un snap ?
Tu viens d’écrire que tout processus d’isolement qui se respecte doit être éliminé car il jouit de droits supérieurs à celui qu’il contrôle. Je me permets un humble désaccord.
1 J'aime
Non, j’ai précisé que certains processus d’isolement sont moins recommandables que d’autres. J’expliquais que Firejail est plus risqué que Snap avec AppArmor lorsque bien configuré.
Voici une base de travail :
https://madaidans-insecurities.github.io/linux.html#sandboxing
Excellente question : et la réponse est justement (et encore) que tout dépend des distributions. J’en parlais sur un autre fil, mais par exemple, la politique AppArmor est très différente entre Debian stable et testing. De même, certaines distributions permettent d’installer Snap sans AppArmor… etc
Autre exemple, sur Ubuntu, la politique AppArmor varie d’un Snap à l’autre, ce qui impose une grande vigilance (ce qui en soit est un problème).
J’entends, et ta référence est clairement pertinente.
Comme je n’accepte pas Shuttleworth, dans ton optique je pense que resteraient Appimage et Flatpak. Mais s’il me faut ajouter par là-dessus une couche avec AppArmor ça devient franchement trop compliqué pour moi.
Sans doute Firejail est-il moins bon que d’autres du point de vue de la « surface d’attaque » (ils déclarent par contre viser, par exemple, le moins de dépendances possibles, etc.) mais pour moi, exiger la superposition de deux systèmes successifs comme Appimage + AppArmor est d’une complexité qui va me pousser à des erreurs de config, voire de compréhension, bien plus graves que la simple commande firejail whatsapp-for-linux %u par exemple…
(sachant que dans ce dernier cas, je ne cherche pas à « échapper à la CIA » mais juste à empêcher Trump de remonter aux adresses de tous mes correspondants mail ordinaires)
1 J'aime
Oui, c’est exactement ça : configurer proprement et surtout efficacement AppArmor ou Selinux… c’est réservé aux experts et peu de distributions le fond. Rare sont celles qui le font correctement d’ailleurs.
Selon le niveau de sécurité recherché, le niveau de compétences nécessaires peut vite devenir exponentiel… et cela peut devenir particulièrement chronophage
app armor c’est assez simple à mettre en place
1 J'aime
Et Flatseal ?
Bon, vous m’avez convaincu : comme AppArmor est par défaut dans Debian, je vais modifier mes commandes firejail machin en firejail --apparmor machin.
Je viens d’essayer avec des horreurs comme whatsapp et telegram, ça semble marcher sans souci…
tu nous feras un petit tuto si possible ?
en fait il suffit d’actriver apparmor dans tron GRUB avec :
GRUB_CMDLINE_LINUX="apparmor=1 security=apparmor audit=1 audit_backlog_limit=8192"
sans oublier après le update-grub (et accessoirement chkboot si celui-ci est mis en place).
Avec flatseal tu cliques.
(Je sais, il reste des gens de l’époque clavier qui n’aiment pas les clics)
Je n’ai pas fait ça, j’ai juste mis à jour mes raccourcis de commande firejail avec --apparmor et vérifié que j’obtenais une réponse (compliquée) avec sudo apparmor_status qui fait apparaître la victime (par ex. whatsapp) lorsque je la lance. C’est bon?
normalement c’est aa-status pour apparmor.
Bigre, ça produit la même chose en dix fois plus court 
Signe d’une appli très mature capable de manier autant l’explicite pour newbee que le concis!
Merci!
H.
1 J'aime
Oui, c’est ce qui m’a fait passer de « ne plus forcément recommander Ubuntu » à « considérer qu’Ubuntu n’est plus une option acceptable ».
(ça ne veut pas dire que je refuse d’installer Ubuntu si on me le demande, mais j’explique le problème et recommande d’utiliser plutôt Mint)
Qu’ils ne séparent pas les snap et les vrais paquets dans la logithèque, ça m’énervait déjà mais y’avait au moins une logique derrière (« faciliter pour les débutants »), mais là on est activement dans la tromperie et le dépouillement de l’utilisateur de sa capacité d’agir, c’est inacceptable.
2 J'aime