AppArmor

AppArmor

Geliştirici	Immunix (1998–2005) Novell / SUSE (2005–2009) Canonical ve açık kaynak topluluğu (2009–günümüz)
İlk yayınlanma	1 Ocak 1998 (28 yıl önce) (1998-01-01)
Programlama dili	C, Python, C++, sh
İşletim sistemi	Linux
Tür	LSM (Linux Security Modules), Zorunlu Erişim Denetimi (MAC)
Lisans	GNU GPL
Resmî sitesi	apparmor.net

AppArmor ("Application Armor"), Linux çekirdeği için geliştirilmiş, sistem yöneticilerinin programların yeteneklerini ve kaynak erişimlerini program başına tanımlanan güvenlik profilleriyle sınırlandırmasına olanak tanıyan bir Linux Güvenlik Modülü (LSM) mimarisidir. Geleneksel Unix/Linux isteğe bağlı erişim denetimi (DAC) modelini zorunlu erişim denetimi (MAC) ile tamamlayarak sistem güvenliğini artırır.

AppArmor, rakibi olan SELinux'un karmaşık güvenlik etiketleme sistemine alternatif olarak doğrudan dosya sistemi yolları (pathname) üzerinden kural işletir. Bu sayede öğrenmesi, profil yazması ve yönetimi çok daha kolay kabul edilir. Ekim 2010'da yayımlanan Linux çekirdeği 2.6.36 sürümünden bu yana resmi çekirdek ana hattına (mainline) dahildir.

AppArmor; Ubuntu (Ubuntu 7.10'dan bu yana), Debian (Debian 10 Buster'dan bu yana) ve gizlilik odaklı Tails ile Whonix dağıtımlarında varsayılan güvenlik katmanıdır. 2009 yılından itibaren projenin ana geliştiricisi ve hamisi Canonical firmasıdır.

Geleneksel Linux sistemlerinde bir sürecin erişim izinleri, o süreci başlatan kullanıcının yetkilerine (kullanıcı kimliği / UID) bağlıdır. Bir saldırgan web sunucusu (Apache, Nginx), veritabanı (MySQL) veya bir PDF görüntüleyici gibi bir uygulamadaki arabellek aşımı (buffer overflow) açığını istismar ettiğinde, o uygulamanın sahip olduğu tüm hakları elde eder. Uygulama root yetkisiyle çalışıyorsa tüm sistem ele geçirilebilir.

AppArmor bu tehdidi ortadan kaldırmak amacıyla "en az ayrıcalık" (least privilege) ilkesini uygular:

• Her uygulama için `/etc/apparmor.d/` dizini altında düz metin formatında bir profil tanımlanır.
• Profil; programın hangi dosyalara erişebileceğini (okuma, yazma, çalıştırma), hangi ağ soketlerini açabileceğini ve hangi Linux yeteneklerini (POSIX capabilities) kullanabileceğini açıkça belirler.
• Program `root` haklarıyla çalışsa dahi, profilinde açıkça tanımlanmamış hiçbir dosya veya sistem kaynağına erişemez.
• Örneğin; PDF görüntüleyicisi ele geçirilse bile, AppArmor profili nedeniyle kullanıcının gizli SSH anahtarlarına (`~/.ssh/id_rsa`) veya sistem parola dosyalarına erişmesi çekirdek düzeyinde engellenir.

AppArmor profilleri iki temel modda işletilebilir:

Bir sistemde bazı profiller `enforce` modunda çalışırken diğerleri `complain` modunda bulunabilir. Uygulama için tanımlı hiçbir profil yoksa, uygulama "kısıtlanmamış" (unconfined) olarak geleneksel Linux izinleriyle çalışmaya devam eder.

AppArmor profilleri, okunması ve yazılması son derece kolay olan düz metin dosyalarıdır. Genellikle sınırlandırılan çalıştırılabilir dosyanın tam yolunu yansıtacak şekilde adlandırılır (örn. `/usr/bin/evince` programı için `/etc/apparmor.d/usr.bin.evince` dosyası).

Dosya kurallarında yaygın olarak kullanılan erişim bayrakları şunlardır:

• `r`: Okuma (Read)
• `w`: Yazma (Write)
• `a`: Dosya sonuna ekleme (Append)
• `k`: Dosya kilitleme (File locking)
• `l`: Sabit bağlantı oluşturma (Link)
• `m`: Belleğe yürütülebilir olarak eşleme (Memory map execute)
• `x`: Çalıştırma (Execute) — alt yürütme kurallarıyla birlikte kullanılır:
  • `px`: Ayrılmış başka bir AppArmor profiline geçerek çalıştır.
  • `ix`: Mevcut profilin kurallarını devralarak çalıştır.
  • `ux`: Kısıtlamasız (unconfined) çalıştır.

Basit bir web uygulaması için örnek AppArmor profil sözdizimi:

#include <tunables/global>

/usr/bin/ornek_uygulama {
  #include <abstractions/base>
  #include <abstractions/nameservice>

  # Salt okunur konfigürasyon erişimi
  /etc/ornek_uygulama/* r,

  # Günlük dosyasına yazma izni
  /var/log/ornek_uygulama.log rw,

  # Geçici dizinde dosya oluşturma
  /tmp/ornek_* rw,

  # Ağ üzerinden TCP soketi açabilme
  network inet tcp,

  # Kritik sistem dosyalarına açık erişim yasağı
  deny /etc/shadow rwx,
  deny /home/*/.ssh/* rwx,
}

Profillerde yer alan `#include <abstractions/...>` direktifleri, temel paylaşılan kütüphaneler (`libc`, yerel ayarlar, DNS çözümleme vb.) için önceden hazırlanmış ortak kuralları profile dahil ederek kural yazımını büyük ölçüde kolaylaştırır.

AppArmor, sistem yöneticilerinin profilleri kolayca oluşturabilmesi ve denetleyebilmesi için bir dizi kullanıcı alanı aracı sunar:

• `aa-status`: Yüklü olan tüm profilleri, kaçının `enforce`, kaçının `complain` modunda olduğunu ve hangi çalışan süreçlerin korunduğunu gösterir.
• `aa-enforce [profil]`: Belirtilen profili derhal zorunlu (enforce) moda alır.
• `aa-complain [profil]`: Belirtilen profili öğrenme (complain) moduna alır.
• `aa-genprof [program]`: Yeni bir uygulama için interaktif profil oluşturma sihirbazıdır. Programı arka planda `complain` modunda çalıştırır, kullanıcının yaptığı eylemleri izler ve gerekli izinleri soru-cevap yöntemiyle profile ekler.
• `aa-logprof`: Sistem günlüklerindeki ihlal kayıtlarını tarayarak mevcut profillere eklenmesi gereken izinleri etkileşimli olarak yöneticiye önerir.
• `aa-disable [profil]`: Bir profili tamamen devre dışı bırakır ve çekirdekten kaldırır.
• `apparmor_parser`: Profilleri derleyip doğrudan Linux çekirdeğine yükleyen düşük seviyeli araçtır (`apparmor_parser -r /etc/apparmor.d/...`).

AppArmor projesinin kökenleri, 1998 yılında Crispin Cowan liderliğindeki WireX Communications (daha sonraki adıyla Immunix) şirketinin geliştirdiği SubDomain projesine dayanır. SubDomain, bir programın farklı yetki alanları (domain) arasında dinamik geçiş yapabilmesini hedefliyordu.

• Novell ve SUSE Dönemi (2005–2009): Mayıs 2005'te kurumsal Linux dağıtıcısı Novell, Immunix firmasını satın aldı. SubDomain projesinin adı "AppArmor" olarak değiştirildi ve kaynak kodları yeniden yazılarak SUSE Linux Enterprise Server (SLES 10) ve openSUSE (10.1) sürümlerine varsayılan güvenlik mekanizması olarak dahil edildi. Eylül 2007'de Novell'in yeniden yapılanma sürecinde çekirdek AppArmor ekibini işten çıkarmasıyla geliştirme süreci yavaşladı.
• Canonical Hamiliği (2009–Günümüz): Ubuntu dağıtımının geliştiricisi Canonical, projenin potansiyelini görerek 2009 yılında AppArmor'un ana geliştirme sorumluluğunu üstlendi ve ekibi bünyesine kattı. Ubuntu 7.10 sürümünden itibaren depolara giren yazılım, zamanla Ubuntu ve Debian ekosisteminin standart güvenlik kalkanı haline geldi.
• Çekirdek Ana Hattına Katılım (2010): James Corbet ve Linus Torvalds'ın onayıyla AppArmor, 20 Ekim 2010'da yayımlanan Linux çekirdeği 2.6.36 sürümünde resmi Linux Güvenlik Modülleri (LSM) listesine dahil edildi.
• SUSE Ekosisteminin Geçişi (2025): Uzun yıllar AppArmor'un tescilli marka haklarını elinde bulunduran SUSE ekosistemi, 11 Şubat 2025 tarihinde openSUSE Tumbleweed, openSUSE Leap 16 ve SUSE Linux Enterprise 16 sürümlerinde varsayılan olarak SELinux'a geçildiğini duyurmuştur. Bununla birlikte AppArmor, kurulum sırasında alternatif bir LSM seçeneği olarak sunulmaya devam etmektedir.

Linux dünyasındaki iki büyük Zorunlu Erişim Denetimi (MAC) sistemi olan AppArmor ve SELinux, güvenlik ve kullanılabilirlik dengesinde farklı felsefeleri benimser:

• SELinux
• Linux Güvenlik Modülleri
• Smack (yazılım)
• Tomoyo Linux
• İsteğe bağlı erişim denetimi
• Zorunlu erişim denetimi

• Resmî site
• AppArmor GitLab Resmi Kaynak Kod Deposu
• Ubuntu Wiki AppArmor Rehberi
• Debian Wiki AppArmor Sayfası
• ArchWiki AppArmor Kılavuzu