当前位置: 首页 > article >正文

OpenHarmony-SELinux配置

前言

OpenHarmony 上某个进程向samgr注册SA服务,其他进程在与该进程进行IPC通信之前,需要获取该SA服务,SA提供方需要为该SA配置SELinux标签,否则该SA会被SELinux配置为u:object_r:default_service:s0标签,配置访问default_service的策略会被neverallow禁止,本文将介绍如何为新增的SA配置SELinux策略。

一、SELinux简介

SELinux (安全增强式 Linux , Security-Enhanced Linux )是 Linux 的安全组件,包含一组内核修改和用户空间工具,并提供了基于安全策略的强制访问控制机制( Mandatory Access Control ,MAC )。SELinux 已经被添加到各种 Linux 发行版中,其软件架构力图将软件执行与安全策略设计分离。本部件负责对文件、属性、服务等系统资源提供强制访问控制保护。提供neverallow规则限制系统中的高危操作,减少系统安全风险。

访问控制基本流程如下图所示:

1.1 整体架构

1.2 策略目录结构

OpenHarmony SELinux策略文件存放在//base/security/selinux_adapter/sepolicy/ohos_policy路径下,在该目录下按以下规范存放:

├── 子系统
│   └── 部件
│       ├── public
│       │   └── type1.te
│       ├── vendor
│       │   └── type2.te
│       └── system
│           └── type3.te

其中,系统相关策略存放在system目录下,芯片相关策略存放在vendor目录下,系统和芯片共用的策略存放在public目录下。

1.3 通用策略文件

通用策略文件,是指设备开发者进行SELinux策略配置时,涉及修改的文件。

1.4 基础策略文件

基础策略文件,是指SELinux基础框架的SELinux策略文件,一般不涉及修改。

1.5 SELinux模式开关

将镜像烧录到开发板上,开机,通过串口拿到 Shell ,在其中执行:

ls -lZ /         # 查看文件标签
ls -lLZ /        # 查看link源文件标签
ps -eZ           # 查看进程标签
setenforce 1     # 使能selinux强制模式(enforcing)
setenforce 0     # 是能selinux宽容模式,当前默认宽容模式(permissive)
getenforce       # 获取selinux工作模式

selinux模式开关配置文件 :开发板 /etc/selinux/config

二、SELinux策略

2.1 avc日志信息

当系统行为被SELinux拦截时,会在内核日志和hilog中打印相关的avc denied日志,格式如下:

//使用dmesg查看日志
audit: type=1400 audit(1502458430.566:4): avc:  denied  { open } for  pid=1658 comm="setenforce" path="/sys/fs/selinux/enforce" dev="selinuxfs" ino=4 scontext=u:r:hdcd:s0 tcontext=u:object_r:selinuxfs:s0 tclass=file permissive=1

//关键字:avc: denied

//日志解读
open                                #操作为open
pid=1658                            #访问主体进程号为1658
comm="setenforce"                   #访问主体进程名为setenforce
path="/sys/fs/selinux/enforce"      #被访问客体为/sys/fs/selinux/enforce
dev="selinuxfs"                     #被访问文件属于selinuxfs这一文件系统
ino=4                               #文件节点编号为4
scontext=u:r:hdcd:s0                #访问主体selinux标签为u:r:hdcd:s0
tcontext=u:object_r:selinuxfs:s0   #被访问客体selinux标签为u:object_r:selinuxfs:s0
tclass=file                         #当前告警属于file类型的操作
permissive=1                        #当前selinux处于宽容模式,只告警不做访问拦截。强制模式时,做拦截, permissive=0

//分析:
缺少啥权限:denied  { open }
谁缺少权限:scontext=u:r:hdcd:s0
对哪个文件缺少:tcontext=u:object_r:selinuxfs:s0
什么类型:tclass=file
通用公式为:allow {scontext} {tcontext}:{tclass} {denied权限}

开发者可以使用关键字avc denied来过滤日志,对于影响业务的avc告警,可以利用告警提供的信息来编写相应的SELinux策略,例如:

上述avc日志对应的TE规则为

allow hdcd selinuxfs:file open;

2.2 策略格式

SELinux策略,又称SELinux规则,通常以allow或neverallow开头,表示允许或禁止某种行为。在设备上使能SELinux时,SELinux会拦截所有未经allow规则授权的行为,配置allow规则可以放行,neverallow规则主要是拦截危险规则的配置。通常allow规则如下:

allow subject object:class permissions;

表示允许subjectobject进行class中的permissions操作,其中:

  • subject表示主体,通常为进程的SELinux类型,如init
  • object表示客体,通常为系统资源的SELinux类型,如data_file
  • class表示要执行的操作的类型,如文件操作file、目录操作dir、套接字操作socket。
  • permissions表示要执行的具体操作,如对文件file的open、read、write。

同理,

neverallow subject object:class permissions;

表示不允许subjectobject进行class中的permissions操作。

2.3 策略宏隔离

在考虑设备开发者便利的同时,需要兼顾商用设备安全性,因此OpenHarmony SELinux提供了策略宏隔离,决定在不同版本上策略是否生效。OpenHarmony SELinux中支持对仅在root版本生效的策略做宏隔离,宏名称为debug_only。在用于设备开发者调试的root版本中,也就是在版本编译命令中指定--build-variant root时,宏开启。在用于商用发布的user版本中,也就是在版本编译命令中指定--build-variant user时,宏关闭。该宏的使用方法参考如下:

debug_only(`
    allow ueventd init:fd use;
')

另外,OpenHarmony SELinux中也支持对开发者模式的策略做宏隔离,宏名称为developer_only,该宏默认开启。开发者模式策略是指,为便于使用user版本进行调试开发的开发者,需要开放的一些用于调试的SELinux策略。开发者模式宏的使用方法参考如下:

developer_only(`
    allow sh init:fd use;
')

三、配置SELinux策略

此处以开发activation_sa激活服务为例,详细介绍如何为sa服务配置selinux策略。

3.1 配置service_contexts

在sepolicy/base/public/service_contexts文件内,新增SAID与SA标签的映射关系:(SAID在activation_sa服务中定义,如foundation/activation/activation/sa_profile/BUILD.gn)

10                                     u:object_r:sa_render_service:s0
...                                    ...
7002                                   u:object_r:sa_ui_appearance:s0
8001                                   u:object_r:sa_ca_daemon_service:s0
10000                                  u:object_r:sa_activation_sa:s0

在service.te中定义对应的sa_activation_sa,使对应的标签合法:

type sa_activation_sa, sa_service_attr

3.2 配置type.te

由init通过cfg文件孵化的SA服务进程,需要在sa服务的本进程cfg文件中新增secon字段(本例子为 foundation/activation/activation/etc/activation_sa.cfg),建立进程与标签的映射关系。如果未配置secon字段,进程在SELinux使能状态会被拦截启动。

{
    "services" : [{
            "name" : "activation_sa",
            "path" : ["/system/bin/sa_main", "/system/profile/activation_sa.json"],
            "uid" : "system",
            "gid" : ["system", "shell"],
            "start-mode" : "boot",
            "secon" : "u:r:activation_sa:s0"
        }
    ]
}

因此,需要在type.te中定义SELinux标签u:r:activation_sa:s0中的SELinux类型activation_sa,使u:r:activation_sa:s0是合法的:

type activation_sa, sadomain, domain;

此外,需要调用binder_call,在activation_sa.te中添加

binder_call(activation_sa, samgr);
allow activation_sa sa_activation_sa:samgr_class { get add };

3.3 查看avc日志信息

dmesg |grep activation_sa
[   11.766938] [pid=1][Init][INFO][init_service_manager.c:1088]Start service activation_sa
[   11.768130] [pid=1][Init][INFO][init_common_service.c:567]Service activation_sa(pid 606) started
[   34.494845] audit: type=1400 audit(1502631529.323:301): avc:  denied  { getattr } for  pid=1395 comm="ps" path="/proc/606" dev="proc" ino=27789 scontext=u:r:sh:s0 tcontext=u:r:activation_sa:s0 tclass=dir permissive=1
[   45.994459] audit: type=1400 audit(1502631540.823:317): avc:  denied  { read } for  pid=1426 comm="ps" name="stat" dev="proc" ino=30816 scontext=u:r:sh:s0 tcontext=u:r:activation_sa:s0 tclass=file permissive=1
[   45.994494] audit: type=1400 audit(1502631540.823:318): avc:  denied  { open } for  pid=1426 comm="ps" path="/proc/606/stat" dev="proc" ino=30816 scontext=u:r:sh:s0 tcontext=u:r:activation_sa:s0 tclass=file permissive=1
[   51.714670] audit: type=1400 audit(1502631546.543:334): avc:  denied  { getattr } for  pid=1443 comm="ps" path="/proc/606" dev="proc" ino=27789 scontext=u:r:sh:s0 tcontext=u:r:activation_sa:s0 tclass=dir permissive=1
[   51.714712] audit: type=1400 audit(1502631546.543:335): avc:  denied  { search } for  pid=1443 comm="ps" name="606" dev="proc" ino=27789 scontext=u:r:sh:s0 tcontext=u:r:activation_sa:s0 tclass=dir permissive=1

根据日志配置te策略,新增sepolicy/ohos_policy/activation/test/system/sh.te

allow sh activation_sa:dir { getattr search };
allow sh activation_sa:file { read open getattr };

注意:随着策略不断配置,还会出现很多新的avc日志,要全部配置完全。

3.4 其他

如果配置完上述策略后,应用程序还是无法调用activation_sa中的方法,那么还需在对应等级的应用te文件(如settings应用权限等级为system_basic,那么对应新增system_basic_hap.te)中添加:

allow system_basic_hap_attr activation_sa:binder { call transfer };
allow system_basic_hap_attr sa_activation_sa:samgr_class { get };

通过上述一系列配置,新增的activation_sa服务能够在selinux开启强制模式下正常启动,且应用程序能够调用到activation_sa服务中定义的接口。


http://www.kler.cn/a/587182.html

相关文章:

  • R语言高效数据处理-自定义格式EXCEL数据输出
  • 洞悉C++内存结构:解锁深层优化潜力
  • redis主从搭建
  • 《鸿蒙系统下AI模型训练加速:时间成本的深度剖析与优化策略》
  • 【ElasticSearch】学习笔记
  • 如何让ai问答机器人通人性?
  • Day16:最小的k个数
  • craftjs的示例landing项目改成APP路由
  • 我与DeepSeek读《大型网站技术架构》- 总结
  • 【零基础入门unity游戏开发——unity3D篇】物理系统 —— 3D物理材质Physics Material
  • 解锁下一代AI应用:开源项目mcp-server-qdrant如何重塑向量数据库管理?
  • EasyCVR安防视频汇聚平台助力工业园区构建“感、存、知、用”一体化智能监管体系
  • 异步加载错误如何解决
  • Linux 中 Git 使用指南:从零开始掌握版本控制
  • Flexus应用服务器L实例、X实例以及ECS(弹性计算服务)之间的区别及其适用场景
  • 函数的引用/函数的默认参数/函数的占位参数/函数重载
  • 【C++】:STL详解 —— 布隆过滤器
  • 设计心得——多态
  • 【VUE】day03-vue过滤器、计算属性、vue-cli、vue组件
  • java 中判断对象是否可以被回收和 GCROOT