SELinux(SEAndroid)是怎么解决安全问题的
上一小结，咱们大概知道，SELinux是个什么。这一节想弄明白SELinux是怎么解决问题的？
- 要解决的具体问题是什么？
- SELinux引入的概念
- SELinux是怎么解决的
- SELinux是怎么实现的。
要解决的是个什么问题
SElinux想要解决的是安全问题，细化一下就是 指定的进程只能访问特定的资源执行特定的操作，而在规定之外的则不能进行操作。从而避免越权的操作，进而达到系统安全。
SElinux引入的概念
主体与客体
对linux系统的所有资源可以分为两类： 主体和客体。
- 主体是活的，可以主动对其他资源进行某些操作的，这里其实只有一个 进程。
- 客体： 则是死的，被动的。除了主体之外的。
标签(Labels)
SElinux是一套标签系统。每个进程都拥有自己的标签，操作系统中的每个文件/目录对象都拥有自己的标签。甚至包括网络端口、设备以及潜在主机名也被分配到了标签。我们通过编写规则来控制对某个进程标签乃至对象标签的访问，这就是所谓管理政策。SELinux内核会强制执行这些规则，有时候我们将这种方案称为强制访问控制（简称MAC）。
在SELinux中标签定义如下：
user:role:type:mls_level
//SELinux用户、SELinux角色、类型和安全级别
ls -lZ xbin/dexdump
-rwxr-xr-x root shell u:object_r:system_file:s0 dexdump
- u： user之意，代表创建这个文件的SELinux user
- object_r： 文件是死的东西，它没法扮演角色，所以在SELinux中，死的东西都用object_r来表示它的role
- system_file： 表示xbin/dexdump 对应的Type
- s0： MLS的级别
SELinux用户 与角色
SELinux 提供了一种依赖于类型强制（ TE）基于角色的访问控制（ RBAC），角色用于组域类型和限制域类型与用户之间的关系， SELinux 中的用户关联一个或多个角色，使用角色和用户， RBAC 特性允许有效地定义和管理最终授予 Linux 用户的特权。
SELinux 中的访问权不是直接授予用户和角色的，角色扮演的是类型强制的一个支持特性，在SELinux中，所有的允许访问权都是由类型强制提供的。
对于进程来说，SELinux用户和SELinux角色只是用来限制进程可以标注的类型。而对于文件来说，SELinux用户和SELinux角色就可以完全忽略不计。为了完整地描述一个文件的安全上下文，通常将它的SELinux角色固定为object_r，而将它的SELinux用户设置为创建它的进程的SELinux用户。
在SEAndroid中，只定义了一个SELinux用户u，因此我们通过ps -Z和ls -Z命令看到的所有的进程和文件的安全上下文中的SELinux用户都为u。同时，SEAndroid 对进程也只定义了一个SELinux角色r，因此，我们通过ps -Z命令看到的所有进程的安全上下文中的SELinux角色都为r。而文件的角色是object_r。
安全级别
默认安全级别为s0，可用的安全级别范围为s0~mls_systemhigh，其中，mls_systemhigh为系统定义的最高安全级别
安全级别实际上也是一个MAC安全机制，它是建立在TE的基础之上的。在SELinux中，安全级别是可选的，也就是说，可以选择启用或者不启用。
安全级别最开始的目的是用来对美国政府分类文件进行访问控制的。在基于安全级别的MAC安全机制中，主体（subject）和客体（object）都关联有一个安全级别。其中，安全级别较高的主体可以读取安全级别较低的客体，而安全级别较低的主体可以写入安全级别较高的客体。前者称为“read down”，而后者称为“write up”。通过这种规则，可以允许数据从安全级别较低的主体流向安全级别较高的主体，而限制数据从安全级别较高的主体流向安全级别较低的主体，从而有效地保护了数据。注意，如果主体和客体的安全级别是相同的，那么主体是可以对客体进行读和写的。
类型（域）
在SEAndroid中，我们通常将用来标注文件的安全上下文中的类型称为file_type，而用来标注进程的安全上下文的类型称为domain，并且每一个用来描述文件安全上下文的类型都将file_type设置为其属性，每一个用来进程安全上下文的类型都将domain设置为其属性。
类型是SELinux中类型是重中之重，它的主要机制通过类型来实现的。策略中也是主要指定处于什么域的主体可以对什么类型的客体执行那些权限的操作。
策略
安全策略使用如下模式：
allow domains types:classes permissions;
其中:
Domain - A label for the process or set of processes. Also called a domain type as it is just a type for a process.
Type - A label for the object (e.g. file, socket) or set of objects.
Class - The kind of object (e.g. file, socket) being accessed.
Permission - The operation (e.g. read, write) being performed.
那如下这条规则举例：
allow appdomain app_data_file:file rw_file_perms;
这条规则表示：
所有应用的域都允许读写标记有app_data_file的文件。
如上是一条策略。
SELinux中包含了很多的策略，在其中主体运行 访问客体的时候会首先检查策略是否允许。
SELinux是怎么解决安全问题的
SElinux_1.png
SELinux是怎么实现的
SELinux_2.png
如上是SEAndroid的基本框图，怎么实现可以参考罗升阳的文章SEAndroid安全机制框架分析
网友评论