专栏首页上善若水S007SELinux(SEAndroid)是怎么解决安全问题的

S007SELinux(SEAndroid)是怎么解决安全问题的

SELinux(SEAndroid)是怎么解决安全问题的

上一小结,咱们大概知道,SELinux是个什么。这一节想弄明白SELinux是怎么解决问题的?

  1. 要解决的具体问题是什么?
  2. SELinux引入的概念
  3. SELinux是怎么解决的
  4. SELinux是怎么实现的。

要解决的是个什么问题

SElinux想要解决的是安全问题,细化一下就是 指定的进程只能访问特定的资源执行特定的操作,而在规定之外的则不能进行操作。从而避免越权的操作,进而达到系统安全。

SElinux引入的概念

主体与客体

对linux系统的所有资源可以分为两类: 主体和客体。

  1. 主体是活的,可以主动对其他资源进行某些操作的,这里其实只有一个 进程。
  2. 客体: 则是死的,被动的。除了主体之外的。

标签(Labels)

SElinux是一套标签系统。每个进程都拥有自己的标签,操作系统中的每个文件/目录对象都拥有自己的标签。甚至包括网络端口、设备以及潜在主机名也被分配到了标签。我们通过编写规则来控制对某个进程标签乃至对象标签的访问,这就是所谓管理政策。SELinux内核会强制执行这些规则,有时候我们将这种方案称为强制访问控制(简称MAC)。

在SELinux中标签定义如下:

user:role:type:mls_level

//SELinux用户、SELinux角色、类型和安全级别


 ls  -lZ  xbin/dexdump
-rwxr-xr-x root     shell             u:object_r:system_file:s0 dexdump
  1. u: user之意,代表创建这个文件的SELinux user
  2. object_r: 文件是死的东西,它没法扮演角色,所以在SELinux中,死的东西都用object_r来表示它的role
  3. system_file: 表示xbin/dexdump 对应的Type
  4. s0: MLS的级别

SELinux用户 与角色

SELinux 提供了一种依赖于类型强制( TE)基于角色的访问控制( RBAC),角色用于组域类型和限制域类型与用户之间的关系, SELinux 中的用户关联一个或多个角色,使用角色和用户, RBAC 特性允许有效地定义和管理最终授予 Linux 用户的特权。 SELinux 中的访问权不是直接授予用户和角色的,角色扮演的是类型强制的一个支持特性,在SELinux中,所有的允许访问权都是由类型强制提供的。

对于进程来说,SELinux用户和SELinux角色只是用来限制进程可以标注的类型。而对于文件来说,SELinux用户和SELinux角色就可以完全忽略不计。为了完整地描述一个文件的安全上下文,通常将它的SELinux角色固定为object_r,而将它的SELinux用户设置为创建它的进程的SELinux用户。

在SEAndroid中,只定义了一个SELinux用户u,因此我们通过ps -Z和ls -Z命令看到的所有的进程和文件的安全上下文中的SELinux用户都为u。同时,SEAndroid 对进程也只定义了一个SELinux角色r,因此,我们通过ps -Z命令看到的所有进程的安全上下文中的SELinux角色都为r。而文件的角色是object_r。

安全级别

默认安全级别为s0,可用的安全级别范围为s0~mls_systemhigh,其中,mls_systemhigh为系统定义的最高安全级别

安全级别实际上也是一个MAC安全机制,它是建立在TE的基础之上的。在SELinux中,安全级别是可选的,也就是说,可以选择启用或者不启用。

安全级别最开始的目的是用来对美国政府分类文件进行访问控制的。在基于安全级别的MAC安全机制中,主体(subject)和客体(object)都关联有一个安全级别。其中,安全级别较高的主体可以读取安全级别较低的客体,而安全级别较低的主体可以写入安全级别较高的客体。前者称为“read down”,而后者称为“write up”。通过这种规则,可以允许数据从安全级别较低的主体流向安全级别较高的主体,而限制数据从安全级别较高的主体流向安全级别较低的主体,从而有效地保护了数据。注意,如果主体和客体的安全级别是相同的,那么主体是可以对客体进行读和写的。

类型(域)

在SEAndroid中,我们通常将用来标注文件的安全上下文中的类型称为file_type,而用来标注进程的安全上下文的类型称为domain,并且每一个用来描述文件安全上下文的类型都将file_type设置为其属性,每一个用来进程安全上下文的类型都将domain设置为其属性。

类型是SELinux中类型是重中之重,它的主要机制通过类型来实现的。策略中也是主要指定处于什么域的主体可以对什么类型的客体执行那些权限的操作。

策略

安全策略使用如下模式:

allow domains types:classes permissions;

其中:

Domain - A label for the process or set of processes. Also called a domain type as it is just a type for a process.
Type - A label for the object (e.g. file, socket) or set of objects.
Class - The kind of object (e.g. file, socket) being accessed.
Permission - The operation (e.g. read, write) being performed. 

那如下这条规则举例:

allow appdomain app_data_file:file rw_file_perms;

这条规则表示: 所有应用的域都允许读写标记有app_data_file的文件。

如上是一条策略。 SELinux中包含了很多的策略,在其中主体运行 访问客体的时候会首先检查策略是否允许。

SELinux是怎么解决安全问题的

SElinux_1.png

SELinux是怎么实现的

SELinux_2.png

如上是SEAndroid的基本框图,怎么实现可以参考罗升阳的文章SEAndroid安全机制框架分析

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • S006SELinux(SEAndroid)是个什么呀

    SEAndroid 是一套安全机制,实现的主要目的是为了是Android系统更安全。 SELinux是被设计为一个灵活的可配置的MAC机制。 SEAndro...

    上善若水.夏
  • S010SEAndroid中相关命令(一)seinfo

    安全上下文是一个简单的、一致的访问控制属性,在SELinux中,类型标识符是安全上下文的主要组成部分,由于历史原因,一个进程的类型通常被称为一个域(domain...

    上善若水.夏
  • S008SELinux的约束操作

    约束(constraints),是SELinux很有用的特新,它的使用十分普遍。很多时候,用户觉得约束是一种添加到黑名单上,并使其受限的方法。当然前提是默认允许...

    上善若水.夏
  • SELinux 入门详解

    回到 Kernel 2.6 时代,那时候引入了一个新的安全系统,用以提供访问控制安全策略的机制。这个系统就是 Security Enhanced Linux (...

    砸漏
  • 查看 SELinux状态及关闭SELinux

    1、/usr/sbin/sestatus -v ##如果SELinux status参数为enabled即为开启状态

    yaohong
  • 如何在 CentOS 8 上禁用 SELinux

    Security Enhanced Linux 或者 SELinux 是一个安全机制,广泛内置于 RHEL 系列版本的 Linux kernel 中。

    雪梦科技
  • 如何在Ubuntu上安装SELinux

    Ubuntu有一个类似于SELinux的强制访问控制系统,名为AppArmor。SELinux(Security-Enhanced Linux) 是美国国家安全...

    挺问中原
  • Centos给文件设置了777权限仍不能访问解决方案

    1.查看SELinux状态: /usr/sbin/sestatus -v ##如果SELinux status参数为enabled即为开启状态   SELin...

    流柯
  • 一步步成为linux大神——bash shell中管道和其他命令分隔符的优先级

    一般在bash中,用“|”作为管道,即pipeline,还可以用“;”之类的分隔符连接多个命令。那么下面这个命令的输出是什么呢? date; who |wc 根...

    大神带我来搬砖
  • Magi 火了:搜索引擎界的一股清流

    “Peak Labs”公司近日发布了其人工智能系统 Magi 的公众版“ http://magi.com ”。通过这一搜索引擎,用户输入关键词,即可获取 Mag...

    凡泰极客

扫码关注云+社区

领取腾讯云代金券