seandroid安全機(jī)制框架分析

1、SEroid安全機(jī)制框架分析安全機(jī)制框架分析SEroid安全機(jī)制所要保護(hù)的對(duì)象是系統(tǒng)中的資源，這些資源分布在各個(gè)子系統(tǒng)中，例如我們經(jīng)常接觸的文件就是分布文件子系統(tǒng)中的。實(shí)際上，系統(tǒng)中需要保護(hù)的資源非常多，除了前面說(shuō)的文件之外，還有進(jìn)程、socket和IPC等等。對(duì)于roid系統(tǒng)來(lái)說(shuō)，由于使用了與傳統(tǒng)Linux系統(tǒng)不一樣的用戶(hù)空間運(yùn)行時(shí)，即應(yīng)用程序運(yùn)行時(shí)框架，因此它在用戶(hù)空間有一些特有的資源是需要特別保護(hù)的，例如系統(tǒng)屬性的設(shè)置。接下來(lái)，我

2、們就通過(guò)圖1來(lái)觀察SEroid安全機(jī)制的整體框架，如下所示：從圖1可以看到，以SELinux文件系統(tǒng)接口為邊界，SEroid安全機(jī)制包含有內(nèi)核空間和用戶(hù)空間兩部分支持。在內(nèi)核空間，主要涉及到一個(gè)稱(chēng)為SELinuxLSM的模塊。而在用戶(hù)空間中，涉及到SecurityContext、SecurityServer和SEroidPolicy等模塊。這些內(nèi)核空間模塊和用戶(hù)空間模塊的作用以及交互如下所示：1.內(nèi)核空間的SELinuxLSM模塊負(fù)責(zé)內(nèi)

3、核資源的安全訪問(wèn)控制。SELinux在進(jìn)行安全檢查的時(shí)候，首先是看一下自己的AccessVectCache是否已經(jīng)有結(jié)果。如果有的話，就直接將結(jié)果返回給相應(yīng)的內(nèi)核子系統(tǒng)就可以了。如果沒(méi)有的話，就需要到SecurityServer中去進(jìn)行檢查。檢查出來(lái)的結(jié)果在返回給相應(yīng)的內(nèi)核子系統(tǒng)的同時(shí)，也會(huì)保存在自己的AccessVectCache中，以便下次可以快速地得到檢查結(jié)果。上面描述的安全訪問(wèn)控制流程可以通過(guò)圖2來(lái)總結(jié)，如下所示：從圖2可以看到