Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

apparmor : confiné ou non

ar barzh paour

depuis le 21/09 j'ai le message suivant qui apparait dans dmesg
( en 5.4.0-47-generic )

[   18.962939] rfkill: input handler disabled
[   19.196740] kauditd_printk_skb: 26 callbacks suppressed
[   19.196741] audit: type=1400 audit(1600088853.328:37): apparmor="DENIED" operation="capable" profile="/snap/snapd/8790/usr/lib/snapd/snap-confine" pid=2940 comm="snap-confine" capability=4  capname="fsetid"

savez-vous ce qu'indique ces messages ? ( dernier et avant dernier)

Vobul

L'avant dernier c'est une façon pour le kernel d'éviter d'afficher trop de fois les même messages (pour éviter une attaque déni de service).

Le dernier c'est apparmor qui empêche snapd de faire un truc. Similaire à : https://bugs.launchpad.net/ubuntu/+source/snapd/+bug/1849753

ar barzh paour

pour les callbacks
je vais essayer de faire des recherches ....
en attendant

alors est-ce grave ? j'ai fait un tri sur la commande suivante tellement il y a de messages

jpb@jpb-MS-7A70:~$ journalctl |grep kauditd_printk_skb

(remarque : j'effectue souvent plusieurs redémarrage par jour)

les premières traces ( et mon journal commence au 27 mai)

    sam. 06 juin 2020 06:29:49 CEST (redémarrage)
            5.4.0-33-generic
juin 06 06:30:47 jpb-MS-7A70 kernel: kauditd_printk_skb: 5893 callbacks suppressed

et d'autre qui dépassent

 sam. 06 juin 2020 12:21:06 CEST (redémarrage)
         5.4.0-33-generic
juin 06 12:21:39 jpb-MS-7A70 kernel: kauditd_printk_skb: 9 callbacks suppressed
juin 06 12:22:04 jpb-MS-7A70 kernel: kauditd_printk_skb: 5893 callbacks suppressed


juin 18 07:37:42 jpb-MS-7A70 kernel: kauditd_printk_skb: 6395 callbacks suppressed

juin 19 07:20:55 jpb-MS-7A70 kernel: kauditd_printk_skb: 6309 callbacks suppressed

juin 19 19:15:49 jpb-MS-7A70 kernel: kauditd_printk_skb: 6338 callbacks suppressed

sept. 13 20:05:10 jpb-MS-7A70 kernel: kauditd_printk_skb: 3162 callbacks suppressed

sept. 14 15:08:02 jpb-MS-7A70 kernel: kauditd_printk_skb: 1568 callbacks suppressed

sept. 14 16:01:00 jpb-MS-7A70 kernel: kauditd_printk_skb: 4738 callbacks suppressed

sept. 15 08:32:21 jpb-MS-7A70 kernel: kauditd_printk_skb: 1577 callbacks suppressed
sept. 15 09:04:42 jpb-MS-7A70 kernel: kauditd_printk_skb: 6309 callbacks suppressed

sept. 16 10:44:30 jpb-MS-7A70 kernel: kauditd_printk_skb: 1577 callbacks suppressed

sept. 17 09:41:54 jpb-MS-7A70 kernel: kauditd_printk_skb: 1584 callbacks suppressed

sept. 17 18:44:52 jpb-MS-7A70 kernel: kauditd_printk_skb: 6309 callbacks suppressed

sept. 18 07:26:58 jpb-MS-7A70 kernel: kauditd_printk_skb: 1575 callbacks suppressed
sept. 18 07:27:22 jpb-MS-7A70 kernel: kauditd_printk_skb: 6309 callbacks suppressed

etc etc


nov. 24 14:25:28 jpb-MS-7A70 kernel: kauditd_printk_skb: 6309 callbacks suppressed

nov. 25 05:23:34 jpb-MS-7A70 kernel: kauditd_printk_skb: 6309 callbacks suppressed

à partir de ce jour les autres sont entre 4 et 27 callbacks
 

jpb@jpb-MS-7A70:~$

ar barzh paour

sur ma version 18.04
les messages sont plus souvent de valeur 15 , aucun plus de 100

je n'ai aucun snap installé sur cette version

jpb@jpb-MS-7A70:~$ 
jpb@jpb-MS-7A70:~$ snap list
Aucun snap installé pour le moment. Essayez « snap install hello-world ».
jpb@jpb-MS-7A70:~$

ce qui n'empêche pas d'avoir des messages de ce type !!! obtenu avec

journalctl|grep snap-confine

nov. 30 13:57:30 jpb-MS-7A70 audit[971]: AVC apparmor="STATUS" operation="profile_load" profile="unconfined" name="/usr/lib/snapd/snap-confine" pid=971 comm="apparmor_parser"
nov. 30 13:57:30 jpb-MS-7A70 audit[971]: AVC apparmor="STATUS" operation="profile_load" profile="unconfined" name="/usr/lib/snapd/snap-confine//mount-namespace-capture-helper" pid=971 comm="apparmor_parser"
jpb@jpb-MS-7A70:~$

Vobul

Est-ce que snapd est actif ? Il l'est peut-être même si aucun snap n'est installé. Tu peux le désactiver (systemctl disable snapd). Mais franchement tu peux aussi ignorer ces messages, car ils ne sont pas importants.

ar barzh paour

concernant kauditd_printk_skb
j'ai trouvé cette documentation sur
net.core.message_burst
net.core.message_cost

https://www.kernel.org/doc/Documentation/sysctl/net.txt

jpb@jpb-MS-7A70:~$ sudo sysctl -a | grep net.core.message_
[sudo] Mot de passe de jpb : 
net.core.message_burst = 10
net.core.message_cost = 5
jpb@jpb-MS-7A70:~$

Ces paramètres sont utilisés pour limiter les messages d'avertissement écrits dans le kernellog à partir du code réseau. Ils appliquent une limite de débit pour rendre impossible une attaque en cas de contact avec le service. Un facteur message_cost plus élevé entraîne moins de messages qui seront écrits. Message_burst contrôle le moment où les messages seront supprimés. Les paramètres par défaut limitent les messages d'avertissement à un toutes les cinq secondes.