专栏首页上善若水S006SELinux(SEAndroid)是个什么呀

S006SELinux(SEAndroid)是个什么呀

本节的问题

  1. SELinux 是什么
  2. 在android系统中的历史
  3. 特点

SELinux 是什么

SEAndroid 是一套安全机制,实现的主要目的是为了是Android系统更安全。 SELinux是被设计为一个灵活的可配置的MAC机制。 SEAndroid 是将SELinux 移植到Android 上的产物,可以看成SELinux 辅以一套适用于Android 的策略。

PS: SELinux是「Security-Enhanced Linux」的简称,是美国国家安全局「NSA=The National Security Agency」 和SCC(Secure Computing Corporation)开发的 Linux的一个扩张强制访问控制安全模块。原先是在Fluke上开发的,2000年以 GNU GPL 发布。 而NSA江湖名声不咋地,有不老实和不厚道的前科

所以咋android系统中名词 SEAndroid 和SElinux在android中可以基本等价。

从Android 4.4 开始增加的一套强制访问控制(Mandatory Access Control, MAC),在Android 本身的任意访问控制(Discretionary Access Control,DAC)之上,通过为对象增加安全上下文的方式,对访问的权限进行了精确的控制。

历史

所谓知往鉴来也,看看SEAndroid 在android系统中的前世今生。 Android的安全模型是基于应用程序沙箱(sandbox)的概念, 每个应用程序都运行在自己的沙箱之中。

在Android 4.3之前的版本

系统在应用程序安装时为每一个应用程序创建一个独立的uid,基于uid来控制访问进程来访问资源,这种安全模型是基于Linux传统 的安全模型DAC(Discretionary Access Control,翻译为自主访问控制)来实现的。

从Android 4.3开始

安全增强型Linux (SElinux)用于进一步定义应用程序沙箱的界限。作为Android安全模型的一部分,Android使用SELinux的强制访问控制(MAC) 来管理所有的进程,即使是进程具有root(超级用户权限)的能力,SELinux通过创建自动话的安全策略(sepolicy)来限制特权进程来增强 Android的安全性。

从Android 4.4开始

Android打开了SELinux的Enforcing模式,使其工作在默认的AOSP代码库定义的安全策略(sepolicy)下。在 Enforcing模式下,违反SELinux安全策略的的行为都会被阻止,所有不合法的访问都会记录在dmesg和logcat中。因此,我们通过查看dmesg或者logcat, 可以收集有关违背SELinux策略的错误信息,来完善我们自己的软件和SELinux策略。

从Android 5.0(L)开始

android从宽松的4.3版本和部分的enforcement 4.4版本变为完整的enforcement模式。简短的说就从从前仅对几个关键的域(installed,netd,vold,zygote)进行保护到对所有的域(多于60个)。

  1. 在5.0 rlease版本中,所有的一切都在enforcing模式中;
  2. 除了init进程,其他进程都不应该在init 域中;
  3. 所有的通用设备(for a block_device, socket_device, default_service, etc.)都应该声明为一个独特的域。

特点

linux 原来的权限管理机制

任意访问控制(Discretionary Access Control,DAC) linux 原来的权限管理机制是基于用户和分组的,root用户作为超级用户拥有最高的权限。进程的权限取决于调起这个进程的用户的权限。 权限所控制的资源主要是:文件 按照 “所有者 所在组 ,其他” 对访问该资源的进程的权限进行定义。 主要的操作类型是: 读写执行

SEAndroid权限机制

它被分类为强制访问控制(Mandatory Access Control, MAC)

我的理解。相比于linux原来的权限机制,SElinux做的更细化。 SELinux 中的主体和客体可以按照死和活来区别, 主体主要是指 进程; 客体是指:文件 设备 套接字 管道 消息队列 等一切资源 主要的操作类型: 不再仅局限于 读写和执行,而扩展到一切的系统调用。

SELinux 为了解决某个主体能不能对客体进行某项操作,引入了 角色,类型,SELinux用户 安全级别 等等概念,给主客体分别打上标签,(这个标签主要的内容就是 selinux用户,角色,类型,安全级别),再制定一套可定制的规则。 在主体要对客体进行访问时,根据规则来判断是否有相应的权限。

SElinux相比于linux原来的权限机制 更细腻,但也更负责。

在打开SELinux的系统中,先执行linux基于用户的权限检查后,再执行SELinux的检查。

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • S007SELinux(SEAndroid)是怎么解决安全问题的

    上一小结,咱们大概知道,SELinux是个什么。这一节想弄明白SELinux是怎么解决问题的?

    上善若水.夏
  • S004Define a SELinux domain for Service

    这是因为Service ro_isn没有在SELinux的监控之下,这种情况会提示你定义一个SELinux。

    上善若水.夏
  • S008SELinux的约束操作

    约束(constraints),是SELinux很有用的特新,它的使用十分普遍。很多时候,用户觉得约束是一种添加到黑名单上,并使其受限的方法。当然前提是默认允许...

    上善若水.夏
  • 谷歌可远程更改安卓设备密码,影响74%设备

    根据纽约地区检察官办公室的一份报告所述,只要有法院命令,谷歌能够非常容易地远程重置旧版本Android系统的密码,调查人员可以轻易地查看设备上的内容。 这份报告...

    FB客服
  • Upspin 中的错误处理

    Upspin 项目使用自定义的包 —— upspin.io/errors —— 来表示系统内部出现的错误条件。这些错误满足标准的 Go error 接口,但是使...

    企鹅号小编
  • Android Service基础

    Service 作为Android的四大组件之一,如果没听过Service,怎么能说能说自己是一个Android开发者呢,实际上,Service 在Androi...

    指点
  • 用大数据抓J.K.罗琳的“马甲”

    2013年4月,一本普通的破案小说“The Cuckoo’s Calling”(中文译名:《布谷鸟的呼唤》)上市了,作者是Robert Galbraith,一名...

    小莹莹
  • win10 uwp InkCanvas控件数据绑定

    参见:https://github.com/Microsoft/Windows-task-snippets/blob/master/tasks/InkCanva...

    林德熙
  • django之templatetags的使用

    2、创建任意 .py 文件,如:myTag.py 3、myTag.py文件: from django import template from djang...

    菲宇
  • 使用二进制进行权限控制

    使用二进制进行权限控制,可减少程序的逻辑判断以及提升效率,linux系统的777权限原理也是通过2进制进行判断的

    仙士可

扫码关注云+社区

领取腾讯云代金券