文件的安全上下文 ---- SEAndroid in Android 5.x

Android系统中的文件生成方式有两种：

1.ROM里面预设的。对于ROM里面预设的文件，我们使用预先定义的方式来确定他们的安全上下文。

2.动态生成的。对于动态生成的文件，原则上继承父目录的安全上下文。但有一些特别的情况下，我们会遵循预先设定的规则来设置他们的安全上下文。

在SEAndroid使用三种方式来设置文件的安全上下文。

1.设置打包在ROM里面的文件的安全上下文

      external/sepolicy/file_contexts

   文件部分内容如下：

# Root

/         u:object_r:rootfs:s0

# Data files

/adb_keys      u:object_r:adb_keys_file:s0

/default\.prop      u:object_r:rootfs:s0

/fstab\..*      u:object_r:rootfs:s0

/init\..*      u:object_r:rootfs:s0

/res(/.*)?      u:object_r:rootfs:s0

/ueventd\..*      u:object_r:rootfs:s0

这个文件中的所有路径都是定义在ROM中的，而不是在系统运行时动态生成的。也就是说，这些路径的安全上下文必须预先设置好。这个文件编译好之后，会存放在$OUT/root/file_contexts

路径按照最佳匹配的原则进行匹配，当遇到类似下面这种时，选择最符合的那一项：

/dev/block(/.*)?   u:object_r:block_device:s0

/dev/block/loop[0-9]*   u:object_r:loop_device:s0

/dev/block/ram[0-9]*   u:object_r:ram_device:s0

 2. 设置虚拟文件系统的安全上下文

external/sepolicy/genfs_contexts

文件内容如下：

# Label inodes with the fs label.

genfscon rootfs / u:object_r:rootfs:s0

# proc labeling can be further refined (longest matchingprefix).

genfscon proc / u:object_r:proc:s0

genfscon proc /net u:object_r:proc_net:s0

genfscon proc /net/xt_qtaguid/ctrl u:object_r:qtaguid_proc:s0

genfscon proc /cpuinfo u:object_r:proc_cpuinfo:s0

genfscon proc /sysrq-trigger u:object_r:proc_sysrq:s0

genfscon proc /sys/fs/protected_hardlinksu:object_r:proc_security:s0

genfscon proc /sys/fs/protected_symlinksu:object_r:proc_security:s0

genfscon proc /sys/fs/suid_dumpableu:object_r:proc_security:s0

genfscon proc /sys/kernel/core_patternu:object_r:usermodehelper:s0

genfscon proc /sys/kernel/dmesg_restrictu:object_r:proc_security:s0

genfscon proc /sys/kernel/hotplugu:object_r:usermodehelper:s0

genfscon proc /sys/kernel/kptr_restrictu:object_r:proc_security:s0

genfscon proc /sys/kernel/modprobeu:object_r:usermodehelper:s0

genfscon proc /sys/kernel/modules_disabledu:object_r:proc_security:s0

genfscon proc /sys/kernel/poweroff_cmdu:object_r:usermodehelper:s0

genfscon proc /sys/kernel/randomize_va_spaceu:object_r:proc_security:s0

genfscon proc /sys/kernel/usermodehelperu:object_r:usermodehelper:s0

genfscon proc /sys/net u:object_r:proc_net:s0

genfscon proc /sys/vm/mmap_min_addru:object_r:proc_security:s0

genfscon proc /sys/vm/dirty_ratio u:object_r:proc_dirty_ratio:s0

# selinuxfs booleans can be individually labeled.

genfscon selinuxfs / u:object_r:selinuxfs:s0

genfscon cgroup / u:object_r:cgroup:s0

# sysfs labels can be set by userspace.

genfscon sysfs / u:object_r:sysfs:s0

genfscon inotifyfs / u:object_r:inotify:s0

genfscon vfat / u:object_r:vfat:s0

genfscon debugfs / u:object_r:debugfs:s0

genfscon fuse / u:object_r:fuse:s0

genfscon pstore / u:object_r:pstorefs:s0

genfscon functionfs / u:object_r:functionfs:s0

genfscon usbfs / u:object_r:usbfs:s0

3. 设置应用程序数据文件的安全上下文

首先查看external/sepolicy/mac_permissions.xml

分析这个文件：

<!-- Platform dev key in AOSP -->
< signer signature="@PLATFORM" >
< seinfo value="platform" />
< /signer>

按照上面的signer的内容，表明当APP签名为@PLATFORM的时，则这个APP的seinfo为platform。

关于@PLATFORM的具体内容，在/external/sepolicy/keys.conf当中：

[@PLATFORM]

ALL : $DEFAULT_SYSTEM_DEV_CERTIFICATE/platform.x509.pem

这个路径也就是：/build/target/product/security/platform.x509.pem

再看下面的default部分的内容，表明不符合上面筛选条件的APP，最后都会得到seinfo为default。

<!-- All other keys -->
<default>
<seinfo value="default" />
</default>

然后根据seinfo的内容platform，查看external/sepolicy/seapp_contexts，内容如下：

isSystemServer=true domain=system_server

user=system domain=system_app type=system_app_data_file

user=bluetooth domain=bluetooth type=bluetooth_data_file

user=nfc domain=nfc type=nfc_data_file

user=radio domain=radio type=radio_data_file

user=shared_relro domain=shared_relro

user=shell domain=shell type=shell_data_file

user=_isolated domain=isolated_app

user=_app seinfo=platform domain=platform_apptype=app_data_file

user=_app domain=untrusted_app type=app_data_file

根据匹配最符合项的规则，当一个签名为@PLATFORM的app安装时会得到seinfo=platform，对应这一行：

user=_app seinfo=platform domain=platform_apptype=app_data_file

该应用的进程domain就是platform_app ，该应用的数据文件的type就是app_data_file。

而一般的第三方应用得到的seinfo是default，并没有这个seinfo的条目，根据最匹配规则，则会对应到：

user=_app domain=untrusted_app type=app_data_file

进程domain为untrusted_app，应用的数据文件的type为app_data_file。

如果我们想要在系统中为自己的应用们增加一个特定的domain，名为anrom，那么需要做的事情是：

1./build/target/product/security/目录下，增加我们的签名pem文件：anrom.pem

2.在/external/sepolicy/keys.conf当中，增加我们的pem条目：

[@ANROM]

ALL : $DEFAULT_SYSTEM_DEV_CERTIFICATE/anrom.pem

3.在external/sepolicy/mac_permissions.xml中，增加筛选我们的应用的内容：
  

<signer signature="@ANROM" >

<seinfo value="anrom" />

<package name="com.anrom.aaa">
<seinfo value="aaa" />
</package>

<package name="com.anrom.bbb">
<seinfo value="bbb" />
</package>

</signer>

<!-- All other keys -->
<default>
<seinfo value="default" />
</default>

signature="@ANROM"，表示签名为@ANROM的APP，会进入这个标签筛选的范围中。

signer标签中有三个部分：

第一部分： 直接给出了一个seinfo

第二部分和第三部分：分别给出了两个package name "com.anrom.aaa" 和 "com.anrom.bbb"他们分别对应着seinfo "aaa" 和 "bbb"。

根据第二部分的内容，当一个APP签名为@ANROM，包名为“com.anrom.aaa”，这个APP会得到seinfo为aaa。

第三部分作用类似。

而其他签名为@ANROM的APP，则根据第一部分的内容，得到seinfo为anrom。

4.在external/sepolicy/seapp_contexts中，为seinfo指定domain和type。

user=_app seinfo=anrom domain=anrom_apptype=anrom_app_data_file

user=_app seinfo=aaa domain=aaa_app type=aaa_app_data_file

user=_app seinfo=bbb domain=bbb_app type=bbb_app_data_file

5.在external/sepolicy/路径下，创建新文件anrom_app.te，aaa_app.te和bbb_app.te

具体的文件内容，可以在platform_app.te的基础上进行修改。

6.在app.te文件中查看neverallow部分是否有不符合我们需求的部分，比如我们可能需要在neverallow规则中去掉anrom_app,那就需要我们将文件中所有出现的

neverallow { appdomain -platform_app}

全部改成

neverallow { appdomain -platform_app -anrom_app}

7.在file.te中，增加

type anrom_app_data_file, file_type, data_file_type;

type aaa_app_data_file, file_type, data_file_type;

type bbb_app_data_file, file_type, data_file_type;

8.在installd.te里面，为installld增加anrom_app_data_file类文件的操作权限(这里只列举anrom_app_data_file,剩下两个type类似操作)

allow installd { system_app_data_file bluetooth_data_filenfc_data_file radio_data_file shell_data_file app_data_fileanrom_app_data_file }:dir { create_dir_perms relabelfrom relabelto};

allow installd { system_app_data_file bluetooth_data_filenfc_data_file radio_data_file shell_data_file app_data_fileanrom_app_data_file }:lnk_file { create setattr getattr unlinkrename relabelfrom relabelto };

allow installd { system_app_data_file bluetooth_data_filenfc_data_file radio_data_file shell_data_file app_data_fileanrom_app_data_file }:{ file sock_file fifo_file } { getattr unlinkrename relabelfrom relabelto setattr };