home *** CD-ROM | disk | FTP | other *** search
/ PC World Komputer 2010 April / PCWorld0410.iso / hity wydania / Ubuntu 9.10 PL / karmelkowy-koliberek-desktop-9.10-i386-PL.iso / casper / filesystem.squashfs / etc / apparmor.d / abstractions / base < prev    next >
Text File  |  2009-10-17  |  4KB  |  102 lines
  1. # vim:syntax=apparmor
  2. # $Id: base 1290 2008-06-11 21:19:36Z jrjohansen $
  3. # ------------------------------------------------------------------
  4. #
  5. #    Copyright (C) 2002-2005 Novell/SUSE
  6. #
  7. #    This program is free software; you can redistribute it and/or
  8. #    modify it under the terms of version 2 of the GNU General Public
  9. #    License published by the Free Software Foundation.
  10. #
  11. # ------------------------------------------------------------------
  12.  
  13.  
  14.  
  15.   # (Note that the ldd profile has inlined this file; if you make
  16.   # modifications here, please consider including them in the ldd
  17.   # profile as well.)
  18.  
  19.   # The __canary_death_handler function writes a time-stamped log
  20.   # message to /dev/log for logging by syslogd. So, /dev/log, timezones,
  21.   # and localisations of date should be available EVERYWHERE, so
  22.   # StackGuard, FormatGuard, etc., alerts can be properly logged.
  23.   /dev/log                       w,
  24.   /dev/random                    r,
  25.   /dev/urandom                   r,
  26.   /etc/locale/**                 r,
  27.   /etc/locale.alias              r,
  28.   /etc/localtime                 r,
  29.   /usr/share/locale-langpack/**  r,
  30.   /usr/share/locale/**           r,
  31.   /usr/share/**/locale/**        r,
  32.   /usr/share/zoneinfo/**         r,
  33.   /usr/share/X11/locale/**       r,
  34.  
  35.   /usr/lib{,32,64}/locale/**             mr,
  36.   /usr/lib{,32,64}/gconv/*.so            mr,
  37.   /usr/lib{,32,64}/gconv/gconv-modules*  mr,
  38.  
  39.   # used by glibc when binding to ephemeral ports
  40.   /etc/bindresvport.blacklist    r,
  41.  
  42.   # ld.so.cache and ld are used to load shared libraries; they are best
  43.   # available everywhere
  44.   /etc/ld.so.cache               mr,
  45.   /lib{,32,64}/ld{,32,64}-*.so   mrix,
  46.   /lib{,32,64}/**/ld{,32,64}-*.so     mrix,
  47.   /lib/tls/i686/{cmov,nosegneg}/ld-*.so     mrix,
  48.   /opt/*-linux-uclibc/lib/ld-uClibc*so* mrix,
  49.  
  50.   # we might as well allow everything to use common libraries
  51.   /lib{,32,64}/**                r,
  52.   /lib{,32,64}/lib*.so*          mr,
  53.   /lib{,32,64}/**/lib*.so*       mr,
  54.   /usr/lib{,32,64}/**            r,
  55.   /usr/lib{,32,64}/*.so*         mr,
  56.   /usr/lib{,32,64}/**/lib*.so*   mr,
  57.   /lib/tls/i686/{cmov,nosegneg}/lib*.so*    mr,
  58.  
  59.   # /dev/null is pretty harmless and frequently used
  60.   /dev/null                      rw,
  61.   # as is /dev/zero
  62.   /dev/zero                      rw,
  63.   # recent glibc uses /dev/full in preference to /dev/null for programs
  64.   # that don't have open fds at exec()
  65.   /dev/full                      rw,
  66.  
  67.   # Sometimes used to determine kernel/user interfaces to use
  68.   @{PROC}/sys/kernel/version     r,
  69.   # Depending on which glibc routine uses this file, base may not be the
  70.   # best place -- but many profiles require it, and it is quite harmless.
  71.   @{PROC}/sys/kernel/ngroups_max r,
  72.  
  73.   # glibc's sysconf(3) routine to determine free memory, etc
  74.   @{PROC}/meminfo                r,
  75.   @{PROC}/stat                   r,
  76.   @{PROC}/cpuinfo                r,
  77.  
  78.   # glibc's *printf protections read the maps file
  79.   @{PROC}/*/maps                 r,
  80.  
  81.   # libgcrypt reads some flags from /proc
  82.   @{PROC}/sys/crypto/*           r,
  83.  
  84.   # some applications will display license information
  85.   /usr/share/common-licenses/**  r,
  86.  
  87.   # Workaround https://launchpad.net/bugs/359338 until upstream handles stacked
  88.   # filesystems generally. This does not appreciably decrease security with
  89.   # Ubuntu profiles because the user is expected to have access to files owned
  90.   # by him/her. Exceptions to this are explicit in the profiles. While this rule
  91.   # grants access to those exceptions, the intended privacy is maintained due to
  92.   # the encrypted contents of the files in this directory. Files in this
  93.   # directory will also use filename encryption by default, so the files are
  94.   # further protected. Also, with the use of 'owner', this rule properly
  95.   # prevents access to the files from processes running under a different uid.
  96.  
  97.   # encrypted ~/.Private and old-style encrypted $HOME
  98.   owner @{HOME}/.Private/** mrixwlk,
  99.   # new-style encrypted $HOME
  100.   owner @{HOMEDIRS}/.ecryptfs/*/.Private/** mrixwlk,
  101.  
  102.