使用 Apparor Bubblewrap 保护浏览器 cookie、限制 QQ/TG 访问权限，有参考资料吗？
ryan4yin ryan4yin 2024-09-04 09:47:16 +08:00 1941 次点击这是一个创建于 453 天前的主题，其中的信息可能已经有所发展或是发生改变。
最近几年时常在 X 上看到各种币圈被盗、隐私泄漏新闻，就想着给关键数据加个访问控制，以及把 QQ 之类的闭源软件全部丢进沙箱里跑，但搜索发现相关资料挺少的，所以想了解下各位 V2 网友是怎么做 Linux 安全加固的。
我主力电脑是 NixOS ，桌面用的 Hyprland ，硬盘采用了 Btrfs + LUKS 全盘加密 + Secure Boot ，目前在探索尝试的系统加固配置如下：
https://github.com/ryan4yin/nix-config/tree/nixos-hardening/hardening
另外我年初也基于自己的折腾经验写过篇搞数据安全的文章，欢迎各位交流讨论。
https://thiscute.world/posts/an-incomplete-guide-to-data-security/
 | 1 ryan4yin OP 比较理想的可能是做到类似现在 Android/IOS 那种细粒度的 APP 权限控制，bubblewrap 能做到类似的效果，但是要慢慢调试，还挺麻烦的。 |
| 2 ryan4yin OP firejail 有很多现成的配置能用，比较方便，但又被很多人喷它的设计有安全问题，不太敢用。 |
 | 3 amber0317 2024-09-04 17:17:43 +08:00 试试 flatpak ？我也是 NixOS ，对于不干净的桌面软件直接丢进 flatpak 限制进沙箱处理了。 劣势就是占用空间大点，然后不够 native （ |
| 4 ryan4yin OP @amber0317 flatpak 主要是不够声明式，不过装个 QQ 确实 OK ，我最近在整的 nixpak 也是用了 flatpak 的 bubblewrap ，更可控些，缺点就是配置起来很麻烦。 我再折腾下吧，如果不好搞就换成 flatpak |
 | 5 cnt2ex 2024-09-05 15:11:07 +08:00 flatpak 就有一定的沙箱功能，并且还可以通过 flatpak override 来修改默认人配置（或者使用 flatseal 图形界面工具） flathub 里也有别人打包好的 QQ 和 telegram 。比如 QQ： https://github.com/flathub/com.qq.QQ/blob/master/com.qq.QQ.yaml 文件系统相关的部分只开放了 --filesystem=xdg-download --filesystem=xdg-run/pipewire-0 --filesystem=/tmp 这 3 个地方 所以 flatpak 版的 QQ ，除非 QQ 偷偷地搞什么沙箱逃逸之类行为，默认是读取不到这几个以外的地方的。 |
Select Language