Wie ihr in „Wenn ansible.builtin.ping kein pong zurückgibt,…“ nachlesen könnt, bin ich kürzlich mit dem File Access Policy Daemon fapolicyd aneinandergeraten. In diesem Beitrag möchte ich meine Gedanken zu dieser Anwendung und einige Links zu weiterführenden Informationen mit euch teilen.
Das Software-Framework fapolicyd steuert die Ausführung von Anwendungen basierend auf einer benutzerdefinierten Richtlinie. Dies ist eine der effizientesten Methoden, um die Ausführung nicht vertrauenswürdiger und potenziell bösartiger Anwendungen auf dem System zu verhindern.
Übersetzung aus Introduction to fapolicyd
Informationen zu fapolicyd
Lose Gedanken
Zuerst möchte ich noch ein Zitat aus einem Matrix-Kanal mit euch teilen:
Klingt ein bischen wie SELinux für Arme ^W Menschen mit Freizeit.
Ich glaube,ich muß mal was anderes machen. Irgendwas mit Holz… ;-)
Ulf Volmer im TILpod-Matrix-Kanal
Dazu möchte ich schreiben, dass fapolicyd nicht als Alternative, sondern eher als Ergänzung zu SELinux zu sehen ist. Es handelt sich dabei also um ein weiteres Werkzeug, mit dem sich steuern lässt, was auf einem System ausgeführt werden darf und was nicht.
Ich kann nachvollziehen, warum man sich solch ein Werkzeug wünscht. Es bietet potenziell eine Antwort auf die Frage: „Wie verhindere ich, dass User beliebige flatpaks aus dem Internet herunterladen und aus ihrem HOME-Verzeichnis ausführen?“
Ob es dafür wirklich gut geeignet ist, habe ich nicht getestet. Es hat jedoch gezeigt, dass es meine Python-Skripte blockieren kann. Allerdings habe ich dabei auch gelernt, dass man diesen Schutz relativ leicht umgehen kann, indem man einfach die Shebang weglässt und das Skript manuell als Argument an einen Python-Interpreter übergibt. Siehe dazu meinen Kommentar auf GitHub.
Generell scheint es aufwändig zu sein, Regeln für HOME-Verzeichnisse zu konfigurieren. Ein Pull-Request hierzu wurde zurückgezogen.
Auf mich macht dies bisher den Eindruck, dass fapolicyd in der Tat mehr Arbeit und Ärger für Sysadmins bedeutet, jedoch nur einen geringen Zugewinn an Sicherheit bringt.
Was haltet ihr davon? Teilt eure Gedanken gern in den Kommentaren. Ich freue mich, zu lernen, welche Vor- und Nachteile ihr in fapolicyd seht.
Anmelden
Am 14. Oktober 2025 endet offiziell der Support für Windows 10. Danach stellt Microsoft keine regulären Sicherheitsupdates mehr bereit. Zwar ist inzwischen angekündigt, dass es noch bis Ende 2026 eine verlängerte Updatephase geben soll, doch die Bedingungen dafür sind noch nicht voll transparent. Millionen funktionstüchtige Computer wären damit theoretisch aus dem Updatezyklus ausgeschlossen, wenn sie […]
Die Linux Mint Entwickler haben die ISO Installer der neuen Version ihrer Debian Edition veröffentlicht. LMDE 7 veröffentlicht. LMDE 7 trägt den Codenamen „Gigi“ und basiert auf dem aktuellen Debian 13 „Trixie“. Die Veröffentlichung bringt zahlreiche Neuerungen mit sich und richtet sich an Nutzer, die auf Ubuntu verzichten möchten. LMDE 7 nutzt den stabilen Linux […]