Seit Jahren praktiziere ich das, was im Artikel Programme abschotten beschrieben steht. Der Browser läuft unter einem anderen Benutzer. Andere Umsetzungen mit firejail oder apparmor erfordern mehr Einlesen und dafür fehlt mir irgendwie die Energie, die ich lieber in andere Dinge stecke. Da es in der beschriebenen Form unter 18.04 nicht umgesetzt werden kann (fehlendes gksudo) und mit
pkexec --user feuerfuchs firefox --display=:0
werde ich (fleet) aber nach dem Passwort von admin gefragt. Das ist für mich absolut keine Option. Dieses Passwort darf ausschließlich admin für die Systemadministration verwenden. Diese Trennung halte ich strikt ein.
Deshalb habe ich nun ein etwas umständlicheres Konstrukt. Zunächst einmal einen eingerichteten Benutzer feuerfuchs und der reguläre Benutzer ist Mitglied der Gruppe feuerfuchs.
uid=1000(admin) gid=1000(admin) Gruppen=1000(admin),4(adm),27(sudo),115(lpadmin) uid=1001(fleet) gid=1001(fleet) Gruppen=1001(fleet),1002(feuerfuchs) uid=1002(feuerfuchs) gid=1002(feuerfuchs) Gruppen=1002(feuerfuchs)
Dann ein Skript unter /opt/local/bin/feuerfuchs folgenden Inhalts:
#!/bin/bash /usr/bin/xhost +si:localuser:feuerfuchs && /bin/su feuerfuchs --login -c "/usr/bin/firefox &"
Das würde schon reichen, dass das fleet mit dem Passwort von feuerfuchs den Browser starten kann, aber dazu muss das Passwort im Terminal abgefragt werden. Daher dann doch einen Eintrag in /etc/sudoers.d/benutzerdefiniert
# Mitgliedern der Gruppe feuerfuchs erlauben als Benutzer feuerfuchs firefox zu starten (ohne Passwort) Cmnd_Alias FEUERFUCHS = /opt/local/bin/feuerfuchs %feuerfuchs ALL = NOPASSWD:FEUERFUCHS
damit der Aufruf auch per Starter erfolgt kann
sudo /opt/local/bin/feuerfuchs
Es startet Firefox mit dem gewünschten Zusatz in der Titelleiste "Mozilla Firefox (als feuerfuchs)".
Jetzt meine Frage: Habe ich damit im Sinne des Artikels Programme abschotten gehandelt oder habe ich mir unbeabsichtigt ein unbekanntes Loch gerissen?