0. 概述

• SELinux則是由美國(guó)NSA（國(guó)安局）和一些公司（RedHat、Tresys）設(shè)計(jì)的一個(gè)針對(duì)Linux的安全加強(qiáng)系統(tǒng)。SEAndroid是Google在Android 4.4上正式推出的一套以SELinux為基礎(chǔ)于核心的系統(tǒng)安全機(jī)制。
• 由于Linux有多種發(fā)行版本，所以各家的SELinux表現(xiàn)形式也略有區(qū)別。具體到Android平臺(tái)，Google對(duì)其進(jìn)行了一定得修改，從而得到SEAndroid。

---

1. SELinux

• DAC和MAC

  • SELinux出現(xiàn)之前，Linux上的安全模型叫DAC，全稱是Discretionary Access Control，翻譯為自主訪問(wèn)控制。
    核心思想：
    進(jìn)程理論上所擁有的權(quán)限與執(zhí)行它的用戶的權(quán)限相同。比如，以root用戶啟動(dòng)Browser，那么Browser就有root用戶的權(quán)限，在Linux系統(tǒng)上能干任何事情。
  • SELinux在DAC之外，設(shè)計(jì)了一個(gè)新的安全模型，叫MAC（Mandatory Access Control），翻譯為強(qiáng)制訪問(wèn)控制。
    MAC核心思想：
    任何進(jìn)程想在SELinux系統(tǒng)中干任何事情，都必須先在安全策略配置文件中賦予權(quán)限。凡是沒(méi)有出現(xiàn)在安全策略配置文件中的權(quán)限，進(jìn)程就沒(méi)有該權(quán)限。

  • DAC和MAC：

    • Linux系統(tǒng)先做DAC檢查。如果沒(méi)有通過(guò)DAC權(quán)限檢查，則操作直接失敗。通過(guò)DAC檢查之后，再做MAC權(quán)限檢查。
    • SELinux中也有用戶的概念，但它和Linux中原有的user概念不是同一個(gè)東西。什么意思呢？比如，Linux中的超級(jí)用戶root在SELinux中可能就是一個(gè)沒(méi)權(quán)限，沒(méi)地位，打打醬油的”路人甲“。當(dāng)然，這一切都由SELinux安全策略的制定者來(lái)決定。

在SELinux中，安全策略文件是最重要的。SELinux有自己的一套規(guī)則來(lái)編寫安全策略文件，這套規(guī)則被稱之為SELinux Policy語(yǔ)言.

• SELinux是典型的MAC實(shí)現(xiàn)，對(duì)系統(tǒng)中每個(gè)對(duì)象都生成一個(gè)安全上下文(Security Context),每一個(gè)對(duì)象訪問(wèn)系統(tǒng)的資源都要進(jìn)行安全上下文審查。審查的規(guī)則包括類型強(qiáng)制檢測(cè)(type enforcement)，多層安全審查(Multi-LevelSecurity)，及基于角色的訪問(wèn)控制(RBAC: Role Based Access Control)。
• SELinux的整體結(jié)構(gòu)如下圖所示

---

2. SEAndroid

• 由于Android系 統(tǒng)有著獨(dú)特的用戶空間運(yùn)行時(shí)，因此SELinux不能完全適用于Android系統(tǒng)。為此，NSA同Google一起針對(duì)Android系統(tǒng)，在SELinux基礎(chǔ)上開發(fā)了 SEAndroid。整體框架:

• SEAndroid安全機(jī)制包含有內(nèi)核空間和用戶空間兩部分

  • 內(nèi)核空間的selinux lsm module模塊負(fù)責(zé)內(nèi)核資源的安全訪問(wèn)控制.
  • sepolicy描述的是資源安全訪問(wèn)策略。系統(tǒng)在啟動(dòng)的時(shí)候，init進(jìn)程會(huì)將內(nèi)核空間安全訪問(wèn)策略加載內(nèi)核空間的selinux lsm模塊中去，而用戶空間的安全訪問(wèn)策略則直接保存到普通文件中.
  • 用戶空間的SecurityServer一方面需要檢索用戶空間的安全策略，另一方面也需要檢索內(nèi)核空間的安全策略.
  • 用戶空間的libselinux庫(kù)封裝了對(duì)SELinux文件系統(tǒng)接口的讀寫操作。用戶空間的SecurityServer訪問(wèn)內(nèi)核空間的selinux lsm模塊時(shí)，都是間接地通過(guò)libselinux進(jìn)行的。用戶空間的SecurityServer檢索用戶空間的安全策略時(shí)，同樣也是通過(guò) libselinux庫(kù)來(lái)進(jìn)行的.

• SELinux 給Android 帶來(lái)下面影響：

  • 嚴(yán)格限制了ROOT權(quán)限，以往ROOT“無(wú)法無(wú)天”的情況將得到極大的改善。
  • 通過(guò)SELinux 保護(hù)，降低系統(tǒng)關(guān)鍵進(jìn)程受攻擊的風(fēng)險(xiǎn)，普通進(jìn)程將沒(méi)有權(quán)限直接連接到系統(tǒng)關(guān)鍵進(jìn)程。
  • 進(jìn)一步強(qiáng)化APP的沙箱機(jī)制，確保APP難以做出異常行為或者攻擊行為。
  • 將改變APP 一旦安裝，權(quán)限就已經(jīng)頂死的歷史，APP權(quán)限動(dòng)態(tài)調(diào)整將成為可能

總結(jié)

以上是生活随笔為你收集整理的SELinux与SEAndroid的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。

如果覺(jué)得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。