Configuratie Firejail

[rietje]

Ik wil in de profiles van Firejail zodanige aanpassing maken dat alleen email met bijlagen in de zandbak terechtkomen. Is dat mogelijk?
Zo niet , is het dan mogelijk om bij verzending van mail de bijlagen altijd via de zandbak te moeten laten lopen?
M.a.w. ik zoek naar vereenvoudiging van het gebruik van Firejail en alleen deze te gebruiken voor de allernoodzakelijkste dingen.
Ik neem aan dat er heel wat aanpassingen in de profiles te maken zijn m.b.v.Gedit.
Ik ben een absolute leek op dit gebied en wil leren er mee om te gaan.

Zie in de bijlage mijn huidige firefox profile.

[emvedeesje]

Dag Rietje,

Eerst even uitleggen hoe mijn manier van werken is:
- ik gebruik Mint 18.3 en Ubuntu 16.04.3 met daarin chromium, altijd via FireJail.
- e-mails lopen via gmail, dus eveneens via de chromium-browser.

Zelf heb ik me nog niet bezig gehouden met toevoegingen in de blacklists enz. in de profiles.

Waar ik me wel heb op toegespitst is het beveiligen van alle partities.

Je las waarschijnlijk: https://sites.google.com/site/computertip/zandbak
Onder punt 7 lees je hoe je een starter aanmaakt. Dat heb ik hier ook gedaan.
Doch je vindt nog meer uitleg via de terminal:

Code: [Selecteer]

man firejail
Standaard kan enkel in de mappen /home/USER/Downloads en /tmp  geschreven worden.
Al de rest op het systeemvolume staat READ-ONLY.
MAAR, de andere volumes zijn nog niet beschermd, daarvoor moet een optie meegegeven worden, naargelang de gebruikte browser:

firejail "--blacklist=/media/" google-chrome-stable %U
firejail "--blacklist=/media/" chromium-browser %U
firejail "--blacklist=/media/" firefox %U

Alle volumes welke gekoppeld zijn of worden, zijn nu beschermd !!!

Vanaf nu zijn enkel nog de mappen /home/USER/Downloads en /tmp  beschikbaar voor lezen+schrijven.
Dat wil dus ook zeggen: als ik een bestand wil meesturen in een e-mail, dat bestand in de map Downloads moet staan.
Er is dus natuurlijk een extra stap: het bestand eerst kopiëren naar de map Downloads.

Je kan dus niet zomaar een verkeerd bestand meesturen, want je moet bewust dat bestand eerst in de map Downloads zetten en vervolgens het gaan ophalen uit de map Downloads.
Wat een extra controlestap is.

Misschien is dit een oplossing voor jou ?

groeten van Michael

[Tom]

emvedeesje is dit dan goed zo ?. zie bijlage.

[HWE64]

@emvedeesje, dat is volgens mij toch alleen van toepassing als je ook e-mail verstuurd en ontvangt via de browser. Ik heb Firejail ook nog in TB zitten en daardoor kan ik alleen maar in de map Downloads komen. Toch?

[Tom]

Nu ja ik gebruik Chrome en Google G Mail .

[emvedeesje]

emvedeesje is dit dan goed zo ?. zie bijlage.

Inderdaad Tom, volgens mij is dat oke.
Je kon het overnemen uit mijn gepost antwoord.

Groeten van Michael

[emvedeesje]

@emvedeesje, dat is volgens mij toch alleen van toepassing als je ook e-mail verstuurd en ontvangt via de browser. Ik heb Firejail ook nog in TB zitten en daardoor kan ik alleen maar in de map Downloads komen. Toch?

Zoals ik vermeldde: ik gebruik chromium met daarin gmail.

Kijk daarnaast ook eens naar mijn systeem om andere gemounte partities af te schermen..

Groeten van Michael

[rietje]

Dus heel eenvoudig gesteld: Als in een commando het woord "blacklist" voorkomt loopt dit programma of item via firejail.
Komt het woord "whitelist" erin voor dan loopt dit item altijd onbeschermd binnen.
Kan dit zo gesteld worden ?
Groet.

[emvedeesje]

Dus heel eenvoudig gesteld: Als in een commando het woord "blacklist" voorkomt loopt dit programma of item via firejail.
Komt het woord "whitelist" erin voor dan loopt dit item altijd onbeschermd binnen.
Kan dit zo gesteld worden ?
Groet.

Rietje, geef in de terminal eens het command:

Code: [Selecteer]

man firejailDaar zie je o.a.:
--blacklist=dirname_or_filename
              Blacklist directory or file.

              Example:
              $ firejail --blacklist=/sbin --blacklist=/usr/sbin
              $ firejail --blacklist=~/.mozilla
              $ firejail "--blacklist=/home/username/My Virtual Machines"

--whitelist=dirname_or_filename
              Whitelist  directory  or  file. This feature is implemented only
              for user home, /dev, /media, /opt, /var, and  /tmp  directories.
              When whitlisting symbolic links, both the link and the real file
              should be in the same top directory  (home  user,  /media,  /var
              etc.)

              Example:
              $ firejail --whitelist=~/.mozilla --whitelist=~/Downloads
              $ firejail --whitelist=/tmp/.X11-unix --whitelist=/dev/null
              $ firejail "--whitelist=/home/username/My Virtual Machines"

groeten van Michael

[rietje]

Sorry, emvedeesje, maar het ligt aan mij, maar ik ken al deze terminaltaal niet goed.
Ik zie o.a. blacklist staan met daarachter mozilla en daaronder whitelist met ook mozilla.
Hoe kan ik nu weten welke wat betekent?

Voor complete leken zou men deze taal eens (liefst met voorbeelden) moeten uitleggen.
Ik heb me suf gezocht op het internet, maar overal moeilijke uitdrukkingen.
Zoals gezegd: het ligt aan mijn beperkte kenneis.
M.vr.gr. 

[emvedeesje]

@Rietje

Blacklist = de zwarte lijst = waar je geen toegang op wil
Whitelist = de witte lijst = waar je wél toegang toelaat

Lees a.u.b. nog even mijn reactie #1
Hierin leg ik uit dat ik met Chromium werk, met daarin mijn e-mais via gmail.
Als jij op dezelfde manier werkt (maar dat verklapte je nog niet) is dat dé oplossing.

In je browser kan je de standaard downloadplaats instellen, neem daar zeker /home/xxxxx/Downloads
Want deze map Downloads, samen met /tmp zijn de enige mappen welke firejail toelaat om in te schrijven.
Zowel iets dat je gewoon downloadt, als een aanhangsel van een e-mail dat binnenkomt, komt daarin terecht.

Als je verder niets aangeeft, zijn andere "mounted" volumes NIET beschermd. Zowel om te lezen of te schrijven.
Doch door in de eigenschappen van de starter van Chromium volgende regel te zetten:

Code: [Selecteer]

firejail "--blacklist=/media/" chromium-browser %U...staan alle momenteel gekoppelde volumes op de zwarte lijst. Zowel om te lezen of te schrijven.
...waardoor, als je een bestand wil meesturen met een e-mail, noodgedwongen eerst dat bestand naar de map Downloads moet kopiëren, want enkel de map Downloads is toegankelijk op dat moment.

Hopelijk is deze uitleg iets duidelijker ?

groeten van Michael

[rietje]

Bedankt Michael,
prettige feestdagen gewenst.
Groet.