>Он же приниципально не котролирует права на mount -bind. Получив возможность запускать код от рута, первым делом биндим /bin, /sbin и т.п. куда-нибудь в тихое местечко, и вуаля - вся система наша, что есть apparmor, что нет его

А вот и контроилирует: без capability sys_admin, mount --bind и pivot_root невозможны.

>Если вы скопируете, например, утилиту ping из каталога /bin/ в каталог /usr/bin или переименуете ее в my_ping, то никакие ограничения AppArmor на нее действовать уже не будут – не будет профиля для «новой» программы.

Во первых, не скопируем, потму что у пофили это обычно блокируют. Даже если скопируем - не запустим, так как на запуск право дается избранным файлам. Даже если запустим - запущенное приложение унаследует ограничения родительского профиля.

>Распознавание приложений и, соответственно, определение их полномочий, производится по имени исполняемого файла. Именно этот момент очень часто выступает ключевым в критике AppArmor. Действительно, подменив имя исполняемого файла, злоумышленник может вывести приложение из-под контроля AppArmor. Самый простой пример — создание жесткой ссылки. Более сложный вариант — выполнение mount --bind или pivot_root.

Хрен там раз: AppArmor контролирует создание ссылок, куда попало ссылку не кинешь. Хрен там два: без capability sys_admin, mount --bind и pivot_root невозможны.

>Недостаток такого подхода заключается в том, что при создании жесткой символической ссылки приложение «уходит» из-под контроля системы безопасности.

AppArmor это успешно контролирует через l,

>В частности, TOMOYO, в отличие от AppArmor, позволяет контролировать права на операции mount --bind и pivot_root

Врёти, без capability sys_admin, ничего у вас не выйдет, а большинство профилей в этом разрешении не нуждаются (точнее не видел ни одгого такого профиля).

>Даже простой tomoyo, при правильной настройке, может очень сильно обломать кайф таким ксакепам. А apparmor - нет, при всем желании.
>Вообще, в случае локального/удаленного рута apparmor будет защищать не лучше пресловутого фИгового листика.

Врёти, ваши доказательства не доказательства и разгромлены выше.