24.04 a tué la sécurité d'AppImage

LukePerp · Le 30/08/2024, à 17:16

Bonjour

Ubuntu 24.04 ne permet pas de démarrer les applications AppImage isolées dans une sandbox. C'est bug connue. On peux démarrer ces AppImages en désactivant la sandbox avec `--disable-setuid-sandbox` mais c'est complètement débile au regard de la sécurité. Toutes mes AppImages nécessitent une sandbox. Il hors de question que je les exécutes sans, ni que j'installe l'appli au format deb. Ce bug lié à AppArmor ne semble pas être en voie de résolution.

$ '/home/xxx/Application.AppImage'
.....FATAL:setuid_sandbox_host.cc(158)]
The SUID sandbox helper binary was found, but is not configured correctly.
Rather than run without sandboxing I'm aborting now. You need to make sure that /.... is owned by root and has mode 4755.
Trace/breakpoint trap (core dumped)
$

Avez-vous une solution ?

En attendant, je reste sur 22.04 pour continuer d'utiliser mes applis AppImages avec leur sandbox.

https://bugs.launchpad.net/ubuntu/+sour … ug/2046844
https://bugs.launchpad.net/ubuntu/+sour … ug/2072811
https://bugs.launchpad.net/ubuntu/+sour … ug/2064672

Dernière modification par LukePerp (Le 30/08/2024, à 17:34)

Vobul · Le 30/08/2024, à 19:32

Si VRAIMENT tu as autant peur d'installer et d'utiliser des applications. Je t'invite à utiliser un autre OS, comme OpenBSD, qui est à des années lumières de GNU/Linux lorsqu'on aborde le sujet de la sécurite (compartimentalization, defense in depth, etc).

Regarde sudo. C'est un truc méga important, mais on y trouve des failles parce que c'est un vieux machin bloated. OpenBSD a doas (que j'utilise sous gnu/linux d'ailleurs également). Pareil pour Openssl, OpenBSD utilise libressl parce qu'ils ne se posent pas la question de savoir si il faut absolument conserver la vieille crypto, ça part à la poubelle et c'est très bien ainsi.

Je ne sais quelles applications tu fais tourner, mais perso à peu près tout tourne dans un docker. Et en installé en dur y'a les trucs vitaux : vim, tmux, zsh, rxvt-unicode, firefox, docker, etc... Si vraiment tu es en panique à l'idée de lancer une application, utilise un autre utilisateur. C'est ce que je fais. J'ai un utilisateur secondaire pour minecraft, steam.

Bref, ce que je souhaite faire passer comme idée, c'est que si tu es suffisamment pointu pour reconnaître les limitations d'apparmor, alors tu devrais l'être également pour reconnaître les limitations d'un système gnu/linux, literallement fait de bric et de broc, et qu'il serait judicieux d'envisager d'utiliser un OS qui correspond mieux à tes besoins (ou QubOS https://www.qubes-os.org/).

Mais tout est une question d'équilibre. GNU/Linux c'est quand même vachement pratique pour plein de choses. À moins de vouloir faire tourner des trucs hyper louches ou propriétaires, je ne vois pas bien le risque que tu prends. Je préfère 10 fois prendre un .deb d'un repo officiel, plutôt qu'un truc random sur github.

Tu as aussi les flatpak et les snaps. Il n'y a pas que Appimage. D'ailleurs au passage Appimage est souvent considéré comme pas dingue niveau sécurité... (source: https://github.com/boredsquirrel/dont-use-appimages).

D'ailleurs à mon avis si personne n'est intéressé pour fixer les bugs que tu mentionnent, c'est aussi parce que tout le monde a abandonné les Appimage. Regarde le repo : https://github.com/AppImage/AppImageKit

Dernier commit il y a 7 mois : Fix typo. Il faut remonter à plus d'un an pour avoir un vrai commit. Ça me semble quand même un peu en voie d'extinction ce truc. D'ailleurs on peut faire un petit sondage sur ce forum. Toi lecteur, utilises-tu des appimage ?

alex2423 · Le 30/08/2024, à 20:24

Du même avis que Vobul, très surpris de ta réaction vis à vis du deb. Cela voudrait que la distrib Debian qui ne propose du deb de base n'est pas du tout sécurisé.

Mieux vaut dans ce cas se tourner vers le flatpack et snap avec les misse à jour gérées par le gestionnaire de package.

LukePerp · Le 30/08/2024, à 20:32

Je fais confiance au deb fournit par l'app center, mais pas au deb à télécharger par l'auteur d'une appli
J'ai aucune crainte pour mon système d'utiliser une appimage sans sandbox.
Ma crainte est la fuite de donnée critique encapsulée dans une appimage nécessitant la sandbox.
Quand le format dispo pour les applis dont j'ai besoin, ne sont qu'en appimage, je suis coincée car j'aime Ubuntu et je ne veux pas changer.

Dernière modification par LukePerp (Le 31/08/2024, à 08:30)

Vobul · Le 30/08/2024, à 21:51

Mais de quelles applications tu parles ?

Ubuntu-fr

Navigation

Liens de recherche

Annonce

#1 Le 30/08/2024, à 17:16

24.04 a tué la sécurité d'AppImage

#2 Le 30/08/2024, à 19:32

Re : 24.04 a tué la sécurité d'AppImage

#3 Le 30/08/2024, à 20:24

Re : 24.04 a tué la sécurité d'AppImage

#4 Le 30/08/2024, à 20:32

Re : 24.04 a tué la sécurité d'AppImage

#5 Le 30/08/2024, à 21:51

Re : 24.04 a tué la sécurité d'AppImage

Pied de page des forums