如何在用户级别保护某些文件免受应用程序的攻击？

Question

在多用户 Ubuntu 系统上，我如何才能让我的用户以某种方式执行下载的应用程序，使得应用程序无权访问除指定白名单（每个应用程序都不同）之外的所有文件，并且不会（太多）增加系统资源？

有些用户会下载并“安装”（即在 ~/bin 中解压）大量应用程序。目的是让这些应用程序只能访问用户指定的目录（包含应用程序特定的配置、工作数据等），但不能访问 shh 密钥、私人照片、其他此类应用程序的内部数据等。每个应用程序都应该有自己的白名单。

但这些用户无权修改系统或访问其他用户的文件。（即这些用户不能获得 root 权限。他们不是管理员。）

Answer 1

应用装甲似乎正是你想要的：来自维基百科：

AppArmor（“应用程序防护”）是一个 Linux 内核安全模块，允许系统管理员使用每个程序的配置文件来限制程序的功能。配置文件可以允许网络访问、原始套接字访问以及读取、写入或执行匹配路径上的文件的权限等功能。

AppArmor 是 Ubuntu 上的默认安装，并且为一些应用程序（例如 Firefox）提供了配置文件。

有一个维基百科这里。您可以查看系统中已定义的配置文件 ( etc/apparmor.d)，但请避免使用比大多数配置文件更复杂的 Firefox 配置文件。