S006SELinux(SEAndroid)是个什么呀

本节的问题

  1. SELinux 是什么
  2. 在android系统中的历史
  3. 特点

SELinux 是什么

SEAndroid 是一套安全机制,实现的主要目的是为了是Android系统更安全。 SELinux是被设计为一个灵活的可配置的MAC机制。 SEAndroid 是将SELinux 移植到Android 上的产物,可以看成SELinux 辅以一套适用于Android 的策略。

PS: SELinux是「Security-Enhanced Linux」的简称,是美国国家安全局「NSA=The National Security Agency」 和SCC(Secure Computing Corporation)开发的 Linux的一个扩张强制访问控制安全模块。原先是在Fluke上开发的,2000年以 GNU GPL 发布。 而NSA江湖名声不咋地,有不老实和不厚道的前科

所以咋android系统中名词 SEAndroid 和SElinux在android中可以基本等价。

从Android 4.4 开始增加的一套强制访问控制(Mandatory Access Control, MAC),在Android 本身的任意访问控制(Discretionary Access Control,DAC)之上,通过为对象增加安全上下文的方式,对访问的权限进行了精确的控制。

历史

所谓知往鉴来也,看看SEAndroid 在android系统中的前世今生。 Android的安全模型是基于应用程序沙箱(sandbox)的概念, 每个应用程序都运行在自己的沙箱之中。

在Android 4.3之前的版本

系统在应用程序安装时为每一个应用程序创建一个独立的uid,基于uid来控制访问进程来访问资源,这种安全模型是基于Linux传统 的安全模型DAC(Discretionary Access Control,翻译为自主访问控制)来实现的。

从Android 4.3开始

安全增强型Linux (SElinux)用于进一步定义应用程序沙箱的界限。作为Android安全模型的一部分,Android使用SELinux的强制访问控制(MAC) 来管理所有的进程,即使是进程具有root(超级用户权限)的能力,SELinux通过创建自动话的安全策略(sepolicy)来限制特权进程来增强 Android的安全性。

从Android 4.4开始

Android打开了SELinux的Enforcing模式,使其工作在默认的AOSP代码库定义的安全策略(sepolicy)下。在 Enforcing模式下,违反SELinux安全策略的的行为都会被阻止,所有不合法的访问都会记录在dmesg和logcat中。因此,我们通过查看dmesg或者logcat, 可以收集有关违背SELinux策略的错误信息,来完善我们自己的软件和SELinux策略。

从Android 5.0(L)开始

android从宽松的4.3版本和部分的enforcement 4.4版本变为完整的enforcement模式。简短的说就从从前仅对几个关键的域(installed,netd,vold,zygote)进行保护到对所有的域(多于60个)。

  1. 在5.0 rlease版本中,所有的一切都在enforcing模式中;
  2. 除了init进程,其他进程都不应该在init 域中;
  3. 所有的通用设备(for a block_device, socket_device, default_service, etc.)都应该声明为一个独特的域。

特点

linux 原来的权限管理机制

任意访问控制(Discretionary Access Control,DAC) linux 原来的权限管理机制是基于用户和分组的,root用户作为超级用户拥有最高的权限。进程的权限取决于调起这个进程的用户的权限。 权限所控制的资源主要是:文件 按照 “所有者 所在组 ,其他” 对访问该资源的进程的权限进行定义。 主要的操作类型是: 读写执行

SEAndroid权限机制

它被分类为强制访问控制(Mandatory Access Control, MAC)

我的理解。相比于linux原来的权限机制,SElinux做的更细化。 SELinux 中的主体和客体可以按照死和活来区别, 主体主要是指 进程; 客体是指:文件 设备 套接字 管道 消息队列 等一切资源 主要的操作类型: 不再仅局限于 读写和执行,而扩展到一切的系统调用。

SELinux 为了解决某个主体能不能对客体进行某项操作,引入了 角色,类型,SELinux用户 安全级别 等等概念,给主客体分别打上标签,(这个标签主要的内容就是 selinux用户,角色,类型,安全级别),再制定一套可定制的规则。 在主体要对客体进行访问时,根据规则来判断是否有相应的权限。

SElinux相比于linux原来的权限机制 更细腻,但也更负责。

在打开SELinux的系统中,先执行linux基于用户的权限检查后,再执行SELinux的检查。

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏后端技术探索

深入 Nginx:我们是如何为性能和规模做设计的

NGINX 在网络应用中表现超群,在于其独特的设计。许多网络或应用服务器大都是基于线程或者进程的简单框架,NGINX突出的地方就在于其成熟的事件驱动框架,它能应...

780
来自专栏企鹅号快讯

如何更精准的在 Github 上搜索开源库?你需要这些技巧!

正文共: 2468字 8图 预计阅读时间: 7分钟 一、前言 在日常工作中,我们并不推荐去重复造轮子,通常我们会去搜索一些稳定的第三方开源库来使用。而 Gith...

2136
来自专栏企鹅号快讯

如何更精准的在 Github 上搜索开源库?你需要这些技巧!

正文共: 2468字 8图 预计阅读时间: 7分钟 一、前言 在日常工作中,我们并不推荐去重复造轮子,通常我们会去搜索一些稳定的第三方开源库来使用。而 Gith...

4507
来自专栏ImportSource

消息队列可以有的样子

铺垫 无论是什么类型的消息队列,恐怕都离不开三个东东:读取端 、消息存储平台、写入端,无论你给这三者起了什么样子的名字。也就是写入、存储、读取。 写入端通常被叫...

4366
来自专栏Java后端技术栈

记一次解决业务系统生产环境宕机问题!

Zabbix告警生产环境应用shutdown,通过堡垒机登入生产环境,查看应用容器进程,并发现没有该业务应用的相应进程,第一感觉进程在某些条件下被系统杀死了,然...

881
来自专栏宋凯伦的技术小栈

Developer - 如何自我保证Node.js模块质量

  组里正在做SaaS产品,其中一些模块(Module)是Node.js实现,这里我们主要使用Node.js实现Web Server来提供服务。   在做Saa...

2308
来自专栏linux、Python学习

IBM技术专家教你“懒惰”Linux管理员的10个关键技巧

好的系统管理员区分在效率上。如果一位高效的系统管理员能在 10 分钟内完成一件他人需要 2 个小时才能完成的任务,那么他应该受到奖励(得到更多报酬),因为他为公...

920
来自专栏北京马哥教育

让“懒惰” Linux 运维工程师事半功倍的 10 个关键技巧!

好的Linux运维工程师区分在效率上。如果一位高效的Linux运维工程师能在 10 分钟内完成一件他人需要 2 个小时才能完成的任务,那么他应该受到奖励(得到更...

4006
来自专栏企鹅号快讯

入门干货之用DVG打造你的项目主页-Docfx、Vs、Github

由于这三项技术涉及到的要点以及内容较多,希望大家有空能自己挖掘一下更多更深的用法。 0x01、介绍 VS,即VS2017以及以上版本,宇宙最好的IDE,集成了宇...

2116
来自专栏架构师之路

100行代码,搞定http监控框架

集群信息管理,员工信息管理,告警策略管理,几篇前戏已经铺垫足够,今天,分享如何用100行代码搞定一个可扩展,通用的http监控框架。 一、常见的http监控玩法...

4376

扫码关注云+社区

领取腾讯云代金券