SEAndroid 是什么

2024年03月28日 SEAndroid 是什么 极客笔记

本文介绍SEAndroid(Security Enhancements (SE) for Android),这里的SE全称是Security Enhanced,SEAndroid是Google在Android4.4上正式推出的一套以SELinux为核心的系统安全机制。而SELinux则是由NSA(美国国安局)在Linux社区的帮助下设计的一个针对Linux的安全强化系统。

SEAndroid是在SELinux基础上发展起来的。SELinux是linux系统中对MAC(强制性访问控制)的实现。由于Android系统有着独特的用户空间运行时,因此SELinux不能完全适用于Android系统。为此,NSA(美国国家安全局)同Google一起针对Android系统。

Android 使用SEAndroid对所有进程强制执行强制访问控制 (MAC),甚至包括以 Root/超级用户权限运行的进程(Linux 功能)。

SEAndroid安全机制框架

SEAndroid在架构和机制上与SELinux完全一样,考虑到移动设备的特点,所以移植到Android上的只是SELinux的一个子集。SEAndroid的安全检查几乎覆盖了所有重要的系统资源,包括域转换,类型转换,进程、内核、文件、目录、设备,App,网络及IPC相关的操作。

接下来,我们就来看一下SEAndroid安全机制的整体框架,如下所示:

从上面的架构图可以看出来,SEAndroid安全机制包含用户空间和内核空间两部分,

  • 内核空间主要涉及LSM内核安全模块
  • 用户空间包括SecurityContext,Security Policy等模块

这些模块的作用和交互如下:

  • LSM提供了一种通用的安全框架,允许将安全模型以模块方式载入内核,除了selinux外,linux还支持tomoyo,yama等安全模型
  • AVC是一个策略缓存,当进程试图访问系统资源的时候,kernel中的安全策略服务将会先在AVC中查找策略,如果没有命中,则会到安全服务器中查找,找到了,则权限被缓存,允许访问,如果没找到,则拒绝访问
  • SecurityPolicy描述系统资源的安全访问策略,系统启动时init进程负责把策略文件加载到内核的LSM模块中
  • SecurityContext描述系统资源的安全上下文,SELinux的安全访问策略就是在安全上下文的基础上实现的
  • libselinux为用户空间提供了SELinux文件系统访问接口

本文链接:http://so.lmcjl.com/news/583/

展开阅读全文