嵌入式爱好者

查看: 12139|回复: 0

[帮助] 国产平台之T507 开发板Android 安全策略漫谈

[复制链接]

46

主题

53

帖子

296

积分

扫一扫,手机访问本帖
发表于 2021-12-5 17:25:38 | 显示全部楼层 |阅读模式
        硬件平台:飞凌嵌入式 OKT507-C开发板
( P1 _0 C, S. X" I9 ]4 u        操作系统:Android10.0
/ Y) w2 G  @9 c- ?; {( @
  l' U% [9 J6 Y/ x8 j) ~8 M7 ]                            飞凌嵌入式 T507 开发板 Android系统版本为Android10.0,默认开启了SELinux。基于MAC访问控制模型的SElinux,可以更好地保护我们的Android系统, 比如限制系统服务的访问权限、控制应用对数据和系统日志的访问等措施,这样就降低了恶意软件的影响,并且可以防止因代码存在的缺陷而产生的对系统安全的影响。
* n# v+ I3 C8 ]2 W% j* _  X) _' Z* j+ @        从系统安全方面考虑,SELinux是保护神,但是从软件开发方面,SELinux就是一道牵绊,这是一把双刃剑。* s, y+ ^( A2 P7 a% F. k
                                . p2 ?; A6 Z- p# K4 B/ ~
        比如我们开发应用或者增加系统服务的某些权限的时候,我们必须遵循SELinux的规则,给我们的应用设置对应的安全策略,否则我们的应用就不具备访问数据或者设备的权限。下面我们MAC访问控制模型开始,简单的梳理一下飞凌嵌入式 T507 开发板  Android的安全策略,以及自定义飞凌嵌入式 T507 开发板 Android安全策略的方法。$ T' G9 O& y# y: U2 b- R0 T' Q$ v
        访问控制模型DAC,MAC         访问控制是指控制对计算机或者网络中某个资源的访问。没有它,所有人都可以访问任何资源。有了访问控制,用户在获取实际访问资源或进行操作之前,必须通过识别、验证、授权。
7 g  T! J/ X7 {; D6 g( E) i/ W, O/ y        自主访问控制(DAC: Discretionary Access Control)系统识别用户,根据被操作对象的权限的设置,来决定该用户对其拥有的操作权限,read、write、exec。拥有这个对象权限的用户,又可以将该权限分配给其他用户,此谓之“Discretionary”。缺陷就是对权限控制比较分散,不便于管理,比如无法简单地将一组文件设置统一的权限开放给指定的一群用户。1 J$ {& T% X. P: G' q) l' D+ p
        强制访问控制(MAC: Mandatory Access Control)MAC是为了弥补DAC权限控制过于分散的问题而诞生的。在MAC这种模型里,管理员管理访问控制。管理员制定策略,用户不能改变它。策略定义了哪个主体能访问哪个对象。这种访问控制模型可以增加安全级别,因为它基于策略,任何没有被显式授权的操作都不能执行。MAC被开发和实现在最重视保密的系统中,如军事系统。主体获得清楚的标记,对象得到分类标记,或称安全级别。
5 R+ E* E* h* F& J. x        基于MAC的SElinux         参考链接:https://source.android.google.cn/security/selinux3 ^0 C1 w3 X( v7 v& U
        软件通常情况下必须以 Root 用户帐号的身份运行,才能向原始块设备写入数据。在基于 DAC 的传统 Linux 环境中,如果 Root 用户遭到入侵,攻击者便可以利用该用户身份向每个原始块设备写入数据。从 Android 4.3 起,SELinux 开始为传统的自主访问控制 (DAC) 环境提供强制访问控制 (MAC) 保护功能。作为 Android 安全模型的一部分,Android 使用安全增强型 Linux (SELinux) 对所有进程强制执行强制访问控制 (MAC),甚至包括以 Root/超级用户权限运行的进程(Linux 功能)。例如,可以使用 SELinux 为这些设备添加标签,以便被分配了 Root 权限的进程只能向相关政策中指定的设备写入数据。这样一来,该进程便无法重写特定原始块设备之外的数据和系统设置。借助 SELinux,Android 可以更好地保护和限制系统服务、控制对应用数据和系统日志的访问、降低恶意软件的影响,并保护用户免遭移动设备上的代码可能存在的缺陷的影响。% U7 o4 m3 M7 f& e
                              
& b8 q) g1 U- u' D' [( A2 q* W: I
9 {4 I) f4 P+ D, j' d9 b                            飞凌嵌入式 T507 开发板 Android系统版本为Android10,SELinux默认开启,即使获得了该系统的root权限,也只能向相关策略中指定的设备写入数据,从而更好地保护和限制系统服务,保障系统和数据的安全。: c% Z8 ~/ {) W; q0 ^
        标签、规则和域         SELinux 依靠标签来匹配操作和策略。标签用于决定允许的事项。套接字、文件和进程在 SELinux 中都有标签。SELinux 在做决定时需参照两点:一是为这些对象分配的标签,二是定义这些对象如何交互的策略。
/ Y2 C: e& R$ D* v9 U( h) ?        在 SELinux 中,标签采用以下形式:user:role:type:mls_level,其中 type 是访问决定的主要组成部分,可通过构成标签的其他组成部分进行修改。对象会映射到类,对每个类的不同访问类型由权限表示。
5 Z! t# v7 g/ `+ @( r1 H3 T) M        策略规则采用以下形式:allow domains types:classes permissions;,其中:" Z$ `) [! M# [
; a8 L2 A: h: M1 f
                            Domain - 一个进程或一组进程的标签。也称为域类型,因为它只是指进程的类型。( w- Y; g3 M5 I  R* R, ~$ l' G
        Type - 一个对象(例如,文件、套接字)或一组对象的标签。4 P; }& n/ l$ h& U  r8 Q7 e
        Class - 要访问的对象(例如,文件、套接字)的类型。Permission - 要执行的操作(例如,读取、写入)。
% l/ m# B/ g$ _8 N: t0 M        策略配置源文件         1、external/sepolicy
! Z5 W4 }/ g' q5 X/ w  M+ H2 {        这是独立于设备的配置,一般不能针对设备进行修改+ @( m+ S$ H4 U; ~( X! E1 s; r

2 I4 |! B# x; t9 A& b9 Y                            2、device/<vendor>/<product>/sepolicy0 I. M8 a) u, B1 |8 T) Y
        这是特定于设备的配置,基于 BOARD_SEPOLICY_* 变量来选择对应平台的策略配置。( o0 m; S/ N0 V) M* p0 i( K' h

+ y# I6 T8 E8 _% Z% [% C8 C; o                            以飞凌嵌入式 T507 开发板 为例,T507策略文件的路径如下:
3 X/ G4 j. m9 j4 L        OKT507-android-source/android$ ls device/softwinner/common/sepolicy/private  vendor
2 s) X7 ]+ E2 I" H5 n; H        Type Enforcement (TE) 配置文件         .te 文件中保存了对应对象的域和类型定义、规则。通常每个域一个 .te 文件,例如installd.te。在 device.te、file.te 中声明了设备和文件类型。在某些文件(例如domain.te、app.te)中则存储着共享规则。
" B( r- `% e% G3 l* v' |
% s( J2 {' R% A/ c                            以飞凌嵌入式 T507 开发板 为例,T507 system_app的TE文件的路径如下:+ K5 f- B1 |# [" Z# l
        device/softwinner/common/sepolicy/vendor/system_app.te
$ p2 o& O0 L5 [* o. M        标签配置文件         1、file_contexts:文件安全上下文
! Y, L8 q  e3 ?) c7 F        2、property_contexts:属性安全上下文$ q$ I/ X- c3 v/ ]/ ?9 E5 M2 r

( y/ K  b! t# q( |                            以飞凌嵌入式 T507 开发板 为例,T507 安全上下文文件路径如下:
% j+ k2 [0 [" s5 ~0 ~' g4 K        device/softwinner/common/sepolicy/vendor/property_contexts
4 @3 e0 E) v: Q2 w        device/softwinner/common/sepolicy/vendor/file_contexts
0 `9 {9 `7 v5 Z3 v- p( r4 x        SEAndroid app分类         SELinux(或SEAndroid)将app划分为主要三种类型(根据user不同,也有其他的domain类型):9 C9 ~3 Q( f* S& b" [
        1)untrusted_app 第三方app,没有Android平台签名,没有system权限4 Z& P3 o( r2 |+ _: f
        2)platform_app 有android平台签名,没有system权限; w; Z" L: L3 m1 i' A
        3)system_app 有android平台签名和system权限$ T3 j/ @- E$ n2 Q
        从上面划分,权限等级,理论上:untrusted_app < platform_app < system_app8 Y' z. ?9 W( T/ C5 u  Z
        APP的domain和type         查看seapp_contexts文件,APP的domain和type由user和seinfo两个参数决定0 @( z1 w" q- y1 j9 ~4 d
        system/sepolicy/private/seapp_contexts
+ u+ l  X% D2 w  F  b5 f3 i& w        isSystemServer=true domain=system_server_startup$ K/ o/ Y8 A) \( D
        user=_app seinfo=platform name=com.android.traceur domain=traceur_app type=app_data_file levelFrom=all! u; ?$ y, B* j. p0 e' e+ ^) j6 I
        user=system seinfo=platform domain=system_app type=system_app_data_file' F1 Y4 A8 }* P
        user=bluetooth seinfo=platform domain=bluetooth type=bluetooth_data_file( P) G$ ~' y8 Z  P( k/ h
        user=network_stack seinfo=network_stack domain=network_stack levelFrom=all
) {0 S, T9 I: d7 C        type=radio_data_file4 K' T0 n; N6 P/ \
        user=nfc seinfo=platform domain=nfc type=nfc_data_file
8 [# O2 S* {  H2 N2 q. P! J        user=secure_element seinfo=platform domain=secure_element levelFrom=all  X. R( {) c  e/ h: e: F9 s
        user=radio seinfo=platform domain=radio type=radio_data_file$ i* a* D$ a& C/ K0 t
        user=shared_relro domain=shared_relro
% v& [& I6 C: }, s; s2 s        user=shell seinfo=platform domain=shell name=com.android.shell type=shell_data_file
' j6 m, y/ h8 S3 p- j        user=webview_zygote seinfo=webview_zygote domain=webview_zygote
/ y" T1 T8 o' w/ f5 D) |  t        user=_isolated domain=isolated_app levelFrom=al
# g9 R# L7 d" E2 A( t        luser=_app seinfo=app_zygote domain=app_zygote levelFrom=all; d5 o5 c" ?' j; r
        user=_app seinfo=media domain=mediaprovider name=android.process.media type=app_data_file , e1 \9 s  n( H& u
        levelFrom=user5 W; S) P( q' H
        user=_app seinfo=platform domain=platform_app type=app_data_file levelFrom=user
8 [& ^% y( @. j, R6 z* r        user=_app isEphemeralApp=true domain=ephemeral_app type=app_data_file levelFrom=all- C- e& m& _; t/ x/ w+ {8 c9 W
        user=_app isPrivApp=true domain=priv_app type=privapp_data_file levelFrom=user( |! E- M3 M7 G7 A/ I8 K. ]
        user=_app minTargetSdkVersion=29 domain=untrusted_app type=app_data_file levelFrom=all
5 g0 w4 N2 t& ]% k5 @$ T4 q        user=_app minTargetSdkVersion=28 domain=untrusted_app_27 type=app_data_file levelFrom=all  K, D5 c: ]4 L' E
        user=_app minTargetSdkVersion=26 domain=untrusted_app_27 type=app_data_file 9 c9 B  I$ m. C$ s  _6 i
        levelFrom=user5 q) w. m5 k/ C# U6 z
        user=_app domain=untrusted_app_25 type=app_data_file levelFrom=user. _- N8 N' C  B9 _
        user=_app minTargetSdkVersion=28 fromRunAs=true domain=runas_app levelFrom=all
3 {  F6 S: o0 S. _4 v        user=_app fromRunAs=true domain=runas_app levelFrom=user- Y- P8 I# U3 g6 R
        user         参考链接:https://blog.csdn.net/huilin9960/article/details/815305681 a. `# G+ M3 |3 e$ E
        user可以理解为UID。android的UID和linux的UID根本是两回事,Linux的UID是用于针对多用户操作系统中用于区分用户的,而Android中的UID是用于系统进行权限管理的。参考链接中的文章对于uid的产生讲的很清楚。
! F) t% G/ F8 u% H  o# m* T        seinfo         不同签名会创建对应的selinux上下文。, }: e+ x' B1 q) ]! A  x, P
        Android.mk
8 E: N  Z9 i( F& ^        LOCAL_CERTIFICATE := platform
2 h* |& @/ t) G( v) Q$ L        有platform签名,所以seinfo是platform。
" g3 T, J4 e; _8 s* o6 E        LOCAL_CERTIFICATE作用         参考文档https://blog.csdn.net/hnlgzb/article/details/1078238740 D/ l  z& b$ L# s4 J* f! u
        可以查看Android源码build/target/product/security/ 目录下提供的默认签名文件,不同平台可能会有差异:飞凌嵌入式 T507 开发板 提供了media、networkstack、platform、shared、testkey、verity六种不同权限的签名文件。- k3 y5 N* n3 L* m
                               " e/ A3 i2 R9 E) u7 @
        以飞凌嵌入式 T507 开发板 为例,查看当前运行的应用信息:: C0 ^+ R' z7 l6 H/ h; \1 x
        console:/ # ps -Z
$ R. V$ e( l0 n4 w* h        u:r:system_app:s0              system       15712  1861 1050628 110868 SyS_epoll_wait     5 r/ y& k  a" O
        0 S forlinx.example.app1 d! G0 B; {+ n, t1 M- I% X
        u:r:untrusted_app_27:s0:c512,c768 u0_a62    30259  1861 1052120 114132 SyS_epoll_wait     
  I3 P! c3 S6 [; D& r6 A% \        0 S com.forlinx.changelogo, g5 [4 ?' ^1 t% }
        当前运行的两个APP,forlinx.example.app的UID(user)是system,拥有platform签名,它的domain和type就是system_app。
8 s0 K" |% ]# v7 V9 {5 S) w                              
* {& d' k3 |7 J, f& I8 T; U) Q
; T8 Q1 u, e7 V- K9 d( }, L" ^' a                                                   ) U1 `3 \* D5 u# |! _  b
        com.forlinx.changelogo没有设置UID使用的默认设置,其UID为u0_a62,并且没有设置签名文件,它的domain和type就是untrusted_app。
# L0 `/ j+ b2 g" }. y0 H5 s        T507自定义安全策略         以上面两个运行的app来说,我们为这两个APP添加额外的权限,对应的TE配置文件分别就是system_app.te、untrusted_app.te,对应路径为:# z  p- z: h( ], E
        device/softwinner/common/sepolicy/vendor/system_app.te& [2 c2 Z$ n- u, {
        device/softwinner/common/sepolicy/vendor/untrusted_app.te
: v2 x" z# k7 S' q' s  b$ O) X/ G0 I$ i9 x; t1 Q
                            以forlinx.example.app为例,我们为其添加can设备的执行权限:
! `0 Z+ M( i* n( C; b4 o1 ]# ?/ ^( W8 q
                            OKT507-android-source/android$ vi device/softwinner/common/sepolicy/vendor/system_app.te
! C. ?* B$ x/ W7 l) j4 z$ }        .... V4 p9 u( Z  b+ v; V+ U
        allow system_app vendor_shell_exec:file { getattr open read execute execute_no_trans };
3 f; G4 V- [; S, B. ?: k# s! R& \        allow system_app shell_exec:file { getattr open read execute execute_no_trans };
* t( H9 `  U! ?/ o& J/ e8 L        allow system_app shell:file { getattr open read execute execute_no_trans };
" `  [; L. H2 B6 Z. a( W6 s0 D! y1 v        ...$ k: u# A. S: ~, }/ }  J
        以策略规则配置形式(allow domains types:classes permissions)- R! n: R( i1 e" Z2 P
        分析:domains:system_app
* G2 O) q  x/ Q* K8 H; U        types:vendor_shell_exec& ?5 ?3 r- f$ V0 C- Q
        classes:file0 L9 e$ m8 T5 `9 O" {; C' s  Y
        permissions:getattr open read execute execute_no_trans- e2 j' m% G7 q2 \* r
        neverallow failures         有时我们增加的权限,系统默认的配置是不允许的,比如我们上面给forlinx.example.app增加的执行脚本的权限,报错如下:7 M4 [# v6 r7 K, f# G0 V) t* n
% N, e& x% m. o- V  Y5 D9 f1 t
                            libsepol.report_failure: neverallow on line 9 of system/sepolicy/private/system_app.te 8 P6 a1 e* l1 e% T: d
        (or line 41463 of policy.conf) violated by allow system_app shell:file { read open };: c/ P; w# U+ I( E
        libsepol.report_failure: neverallow on line 22 of system/sepolicy/private/shell.te$ G! w7 U( q9 z/ G/ @+ d
         (or line 40025 of policy.conf) violated by allow system_app shell:file { read open };
# B0 M' m% ]7 ?/ T& z$ D' {8 G8 t        libsepol.check_assertions: 2 neverallow failures occurred) r: I1 i; W7 W

  ?6 N% o0 {9 }, E. E/ G- G8 U- |                            系统默认的安全策略的路径为system/sepolicy/,根据报错的提示,我们可以修改默认的配置,修改system/sepolicy/private/system_app.te和system/sepolicy/private/shell.te,从而完成权限的赋予。
9 Y1 S2 A7 L$ T, R
! j* k) E2 I$ P                            以上就是Android 安全策略的脉络,以及飞凌嵌入式 T507 开发板 Android系统下自定义安全策略的方法了。1 Q, R" u, K3 ?9 T, `/ W3 i

! W1 _  B. O- ]& L0 a! w
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

QQ|小黑屋| 飞凌嵌入式 ( 冀ICP备12004394号-1 )

GMT+8, 2025-12-25 00:58

Powered by Discuz! X3.4

© 2001-2013 Comsenz Inc.

快速回复 返回顶部 返回列表