Dotaz: Ubuntu snap & Firefox & mount

[alfonz]

Ahojte, minule jsem se tu ptal, jak nastavím Firefox, aby nebylo vidět celý /home/user ale jen profil pro Firefox. Tam byla komplikace v cache. Díky za pomoc. Jenže mám ještě jeden Firefox (a Chrome) a ten je ve snapu (Ubuntu 24.04). No a snažím se najít, jestli je tam někde cesta, jak vlastně upravit mount pro snap?

Co se týče těch mountu a přístupů, musí být v snapu, vše v tom strict, režimu - to vypadá jako dobré nastavení, ale dle https://snapcraft.io/docs/home-interface > to vypadá, že přístup je pro celý /home/user/ a zřejmě .addr nejsou přístupné, ale dle mého testování to vypadá, že celé /home/user/ je přístupné přímo.

Ví někdo jak to změnit, tak aby ten Firefox (Chrome) v tom snapu prostě měl přístup, také pouze ke své složce, případně jen /home/user/Downloads? a nikde jinde? snap conntections zřejmě umí odpojit/připojit vždy pouze celý /home

Odpovědi

[alfonz]

Hm, tak jsem to ještě trošku procházel > vypadá to, že /var/lib/snapd/apparmor/profiles/snap.firefox.firefox zde je vygenerovaný profil z snapu, ale nevypadá to, že by to šlo něja úplně upravovat.

[alfonz]

Tak jsem zkoušel ten profil toho apparmoru a s tím nic moc asi udělat nepůjde - zřejmě se to přegeneruje..

Je tu někdo, kdo má nějaké větší zkušenosti s tím snapem/ví jak to upravovat?

S tím connections to vypadá, že nejde změnit mount.

[k3dAR]

se snapem nevim, ale ja bych to resil nahrazenim snap firefoxu za deb firefox [*1] a pak firejail...

1] primo mozilla repozitar(navod anglicky)
nebo starsi varianta PPA od mozilly na serveru launchpad(navod cesky)

[alfonz]

Díky za tip. Bohužel to není moc schůdná varianta. Firejail jsem v minulosti odstranil a používám už pouze systemd a mám právě jeden firefox, který mám statický (v systemd) a druhý ve snapu a tam jsem chtěl upravit ten mount. Btw, já sám už bych nedoporučil firejail, přijde mi, že je to už na dnešní dobu dost hacky program např. oproti Systemd/LXC i asi i Dockeru.

[včera 05:58 alfonz]

btw - zde ještě doplním jednu důležitou věc - opravdu se to přegeneruje (vypadá to, že jak s refreshem, tak možná i pouze se startem)

[včera 06:00 alfonz]

sorry - tohle mělo jít dolu, k tomu přegenerování toho profilu v /var/lib/snapd/apparmor

[alfonz]

Jen doplním, že tedy upravit /var/lib/snapd/apparmor/profiles/snap.firefox.firefox jde, ale vypadá to jako problematické rozhodnutí do budoucna, jelikož se to zřejmě přegeneruje.

[k3dAR]

nezkousel sem, ale zkusil bych v /var/lib/snapd/apparmor/profiles/snap.firefox.firefox nechat to puvodni a tvoji upravenou verzi dat do /etc/apparmor.d/snap.firefox.firefox

[včera 05:54 alfonz]

Jo tak jsem to zkusil a vypadá to, že to jde, ale je to tedy hrozně mautoucí/komplikované, jelikož apparmor neukazuje který je vlastně používaný a vzhledem k tomu, že ten profil má pár tisíc řádků, tak je to tedy pěkně blbý. Druhý problém je, že ve výchozím nastavení se používá xdg-desktop-portal, který spoustu těch omezení vlastně obejde (zatím jsem si to vypnul a zamaskoval) Takže pokud někdo budete chtít podobnou eskapádu řešit, tak je to cesta minovým polem (oproti systemd přímo)

Tzn nejsem si jistý jestli to za to vůbec stojí, když se udělá pravidlo špatně, tak firefox zobrazuje spoustu chyb za běhu, když listuje adresáře. Obecně je ten apparmor dost problematický, jelikož nejde např. udělat jen něco jako tohle přímo pro firefox.

PrivateTmp=true
ProtectHome=true
TemporaryFileSystem=/home/:ro
#tady je více možností
BindPaths=%h/.mozilla/firefox/prof
ReadWritePaths=%h/.mozilla/firefox/prof
BindPaths=%h/.cache
ReadWritePaths=%h/.cache
BindPaths=%h/Downloads
ReadWritePaths=%h/Downloads

ve skutečnosti se tam musí udělat např.

owner @{HOME}/ r,
owner @{HOME}/snap[^/]**          rwklix,
owner @{HOME}/{s,sn,sna}{,/} rwklix,
owner @{HOME}/Downloads/        r,
owner @{HOME}/Downloads/**	  rw,

a k tomu spoustu již těch dalších povolených cest (profil, cache apod) co tam už v profilu jsou. Bohužel tohle má pak efekt, že vlastně např. ~/.ssh a jiné složky/soubory jsou vidět a možná i čitelné (co jsem testoval, tak většina pak vrátí permission denied - takže je to asi ok, ale není na první pohled jasné co je/není povolené). Po vypnutí (a zamaskování) toho xdg portalu a přepnutí na nativní mechanismus to vcelku tedy asi funguje, ale bude otázka co se bude dít, až se to změní. Mno uvidím. Díky za rady.