靠谱的SeLinux强制访问控制技术

SeLinux全称为安全增强式 Security-Enhanced Linux（SeLinux），是一个在内核的强制存取控制（MAC）安全性机制。SeLinux的整体架构和原理都比较简单，使用也不复杂，其复杂的地方在于规则非常复杂，每个进程都要有规则策略；

图片来源:https://www.cnblogs.com/klb561/p/14411953.html

SeLinux 遵从最小权限的理念，在开启SeLinux的情况下（enforcing 模式），所有访问默认是被拒绝的，而有一系列例外的策略来允许系统的元素（服务、进程、用户）具备访问资源的权限，例外的策略通过类型强制描述文件进行描述。不同于基于用户和角色的权限访问控制，Selinux的规则可以做到，与用户/角色没有关系，策略针对每一个可运行的进程进行配置，很好的避免了越权访问的问题，但正因为麻烦，所以很多服务器上默认是关闭了Selinux配置；

Linux内核提供了一个安全模块框架层，这个公共框架类似于文件系统中的VFS。它为调用者提供统一的接口。之所以要提供统一接口是因为Linux内核不仅仅支持SELinux安全特性，还支持Apparmor等很多安全特性。以打开文件为例，当我们调用内核中打开文件的接口是，在其内部会调用security_file_open函数。该函数就是Linux内核安全框架（LSM）的公共接口。然后该函数通过函数指针的方式调用所有注册到LSM的安全模块。以SELinux为例，最终会调用到selinux_file_open函数。

图片来源:https://www.cnblogs.com/klb561/p/14411953.html

TE: TYPE ENFORECE 规则 类型强制策略；

用来描述SeLinux规则的文件就是TE文件,TE 规则是将权限与程序的访问结合在一起;

一个简单的 AV 规则有：

规则名称，源类型，目标类型，客体类别和许可操作，如：

allow user_t bin_t : file execute;

这个 allow 规则的源类型为 user_t，目标类型为 bin_t，客体类别 file，许可 execute，这个规则可以解读为"允许 user_t 执行类型为 bin_t 的文件"。

规则名称包括：

allow 表示允许主体对客体执行允许的操作。

dontaudit 表示不记录违反规则的决策信息，且违反规则不影响运行。

auditallow 表示允许操作并记录访问决策信息。

neverallow 表示不允许主体对客体执行指定的操作

如auditallow 规则，只需要替换掉规则名称即可：

auditallow user_t bin_t : file execute;

源类型通常是进程名，目标类型则是操作的客体类别

特殊类型 self

策略语言保留了一个关键字 self，它用于 AV 规则中的目标区域，可以当做一个类型使

用，如下面这两条规则是相等的：

# 这两条规则是相等的

allow user_t user_t : process signal;

allow user_t self : process signal

2021/07/22更新：Android系统对Selinux的配置，关键搞清楚如何配置新增进程的规则：

SELinux 依靠标签来匹配操作和政策。标签用于决定允许的事项。套接字、文件和进程在 SELinux 中都有标签。
SELinux 在做决定时需参照两点：
一是为这些对象分配的标签；
二是定义这些对象如何交互的政策；


标签采用以下形式表示：user:role:type:mls_level，其中 type 是访问决定的主要组成部分，可通过构成标签的其他组成部分进行修改。对象会映射到类，对每个类的不同访问类型由权限表示。

域(domain)：一个进程或一组进程的标签。也称为域类型，因为它只是指进程的类型。
域的声明使用

type backup_t;


政策规则采用以下形式：
allow domains types:classes permissions;，其中：
domains - 一个进程或一组进程的标签。也称为域类型，因为它只是指进程的类型。
types - 一个对象（例如，文件、套接字）或一组对象的标签。
classes - 要访问的对象（例如，文件、套接字）的类型。
permissions- 要执行的操作（例如，读取、写入）。
使用政策规则时将遵循的结构示例：
allow appdomain app_data_file:file rw_file_perms;
表示所有应用域都可以读取和写入带有 app_data_file 标签的文件。请注意，该规则依赖于在 global_macros 文件中定义的宏，您还可以在 te_macros 文件中找到一些其他非常实用的宏。
可以通过属性引用一组域或类型。简单来说，属性是一组域或类型的名称。每个域或类型都可以与任意数量的属性相关联。当编写的规则指定了某个属性名称时，该名称会自动扩展为列出与该属性关联的所有域或类型。例如，domain 属性与所有进程域相关联，file_type 属性与所有文件类型相关联。
属性与类型关联
type http_user_content_t,file_type;

type httpd_user_content_t, file_type, httpdcontent;

typeattribute 语句，这个语句允许我们在声明类型时单独关联属性
#下面是两条语句
type httpd_user_content_t;
typeattribute httpd_user_content_t file_type, 
httpdcontent;

参考：https://www.cnblogs.com/klb561/p/14411953.html

2021/08/31更新

------

策略文件的加载，核心就是通过security_load_policy接口，对用户空间传进来的te镜像文件进行解析并加载（见：https://blog.csdn.net/bruk_spp/article/details/107283935）

----

init进程上下文的恢复，selinux.cpp的SetupSelinux方法中会执行selinux_android_restorecon

--

avc:access vector cache,用来缓存MAC访问控制策略，在进行策略检查的时候，先到avc中进行检查，如果没有找到，则进行根据安全上下文进行计算，将结果缓存到AVC中:

security/selinux/avc.c 

struct avc_entry {

u32ssid;

u32tsid;

u16tclass;

struct av_decisionavd;

struct avc_xperms_node*xp_node;

};

ssid怎么来的：

security/selinux/ss/mls.c

int mls_context_to_sid(struct policydb *pol,

       char oldc,

       char **scontext,

       struct context *context,

       struct sidtab *s,

       u32 def_sid);

void mls_sid_to_context(struct policydb *p,

struct context *context,

char **scontext);

-------------------广告线---------------
项目、合作，欢迎勾搭，邮箱：promall@qq.com

本文为呱牛笔记原创文章,转载无需和我联系,但请注明来自呱牛笔记 ,it3q.com

• 上一篇： 给应用添加Selinux配置的完整记录
• 下一篇： 亲密关系如何保持