การตั้งค่ากฎ AppArmor Unix Socket ต้องกำหนดให้ครบทั้งสองฝั่ง

Unix domain sockets ทำหน้าที่เป็นช่องทางการสื่อสารที่ใช้บ่อยสำหรับบริการภายในเครื่อง โดยมักจะข้ามการตรวจสอบเครือข่าย พึ่งพาสิทธิ์ในระบบไฟล์ หรือใช้งานชื่อแบบนามธรรมที่ไม่ปรากฏเป็นไฟล์จริง แม้ว่าระบบ AppArmor จะสามารถเข้ามาช่วยควบคุมการเชื่อมต่อเหล่านี้ด้วยกฎ Unix socket ที่ละเอียดอ่อน แต่นโยบายที่จะอนุญาตให้เพียงฝั่งใดฝั่งหนึ่งของการสนทนาก็ยังไม่ใช่มาตรการที่สมบูรณ์

เอกสารของ AppArmor apparmor.d(5) ได้อธิบายถึงการควบคุมซ็อกเก็ตแบบอิงระบบไฟล์ แบบนามธรรม และแบบไม่ระบุตัวตน โดยกฎเหล่านี้สามารถแยกแยะที่อยู่ของซ็อกเก็ต ป้ายกำกับของ peer และการดำเนินการได้ ในระบบที่มีการควบคุมอย่างละเอียด กฎเครือข่ายแบบหยาบในรุ่นเก่าจะถูกแปลงเป็นกฎซ็อกเก็ตที่เทียบเท่า ซึ่งช่วยให้การแยกบริการภายในเครื่องมีประสิทธิภาพยิ่งขึ้น หากมีการทดสอบนโยบายกับตัวตนของ peer ที่ใช้งานจริง

ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง

ซ็อกเก็ตแบบอิงระบบไฟล์จะมีพาธที่ชัดเจน ในขณะที่ซ็อกเก็ตแบบนามธรรมจะมีที่อยู่ภายในเนมสเปซแบบนามธรรมและไม่มีรายการไดเรกทอรีที่ถาวร แม้โปรไฟล์จะสามารถจับคู่รูปแบบที่อยู่ได้ แต่อย่างเดียวก็ไม่สามารถยืนยันได้ว่า peer นั้นมีความน่าเชื่อถือ ป้ายกำกับ AppArmor ของ peer จึงเป็นสัญญาณแยกต่างหากที่นโยบายความปลอดภัยควรพิจารณาร่วมด้วยเมื่อแพลตฟอร์มรองรับ