当前位置：GHOST系统之家>系统教程 > 跟着小白一起学鸿蒙— SELinux简析

跟着小白一起学鸿蒙— SELinux简析

来源：Ghost系统之家浏览：时间：2023-08-31 09:57:38

跟着小白一起学鸿蒙— SELinux简析

作者：左翼风发 2023-03-30 09:19:54系统 OpenHarmony SELinux(Security-Enhanced Linux) 是[美国国家安全局]（NSA）对于[强制访问控制]的实现，是 Linux历史上最杰出的新安全子系统。

想了解更多关于开源的内容，请访问：

51CTO开源基础软件社区

https://ost.51cto.com

SELinux

#创作者激励# #跟着小白一起学鸿蒙# SELinux简析-开源基础软件社区

SELinux说明

SELinux(Security-Enhanced Linux) 是[美国国家安全局]（NSA）对于[强制访问控制]的实现，是 Linux历史上最杰出的新安全子系统。NSA是在Linux社区的帮助下开发了一种访问控制体系，在这种访问控制体系的限制下，进程只能访问那些在他的任务中所需要文件。SELinux 主要作用就是最大限度地减小系统中服务进程可访问的资源（最小权限原则）。

SELinux基本概念

主体Subjects：可以完全等同于进程。目标Objects：被主体访问的资源。可以是文件、目录、端口、设备等。策略Policy：哪些进程需要管制、要怎么管制是由政策决定。规则是模块化、可扩展的。在安装新的应用程序时，应用程序可通过添加新的模块来添加规则。用户也可以手动地增减规则。模式Mode：默认有三种模式：Enforcing 强制— SELinux 策略强制执行，基于 SELinux 策略规则授予或拒绝主体对目标的访问。Permissive 宽容— SELinux 策略不强制执行，不实际拒绝访问，但会有拒绝信息写入日志。Disabled 禁用— 完全禁用SELinux。

OpenHarmony SELinux使用介绍

#创作者激励# #跟着小白一起学鸿蒙# SELinux简析-开源基础软件社区

OpenHarmony里的selinux部件负责对文件，属性，服务等系统资源提供强制访问控制保护。提供neverallow规则限制系统中的高危操作，减少系统安全风险。

文件结构（distributedatamgr）：

├── BUILD.gn├── bundle.json├── config# 板侧三方库配置文件│ ├── config.enforce│ └── config.permissive├── docs# 文档├── interfaces│ ├── policycoreutils# 板侧libload_policy.so, librestorecon.so│ │ ├── include│ │ └── src│ └── tools# 板侧load_policy, restorecon│ ├── hap_restorecon│ ├── load_policy│ ├── param_check│ ├── restorecon│ └── service_check├── LICENSE├── OAT.xml├── README-en.md├── README.md├── scripts# 编译侧策略编译脚本├── selinux.gni├── sepolicy# 编译侧策略文件│ ├── base│ │ ├── public│ │ ├── system│ │ └── te│ └── ohos_policy│ ├── ability│ ├── ark│ ├── arkXtest│ ├── barrierfree│ ├── bundlemanager│ ├── cloud│ ├── communication│ ├── customization│ ├── developtools│ ├── deviceprofile│ ├── distributeddatamgr│ ├── distributedhardware│ ├── distributedschedule│ ├── drivers│ ├── dsoftbus│ ├── filemanagement│ ├── global│ ├── graphic│ ├── hiviewdfx│ ├── iam│ ├── kernel│ ├── location│ ├── misc│ ├── miscservices│ ├── msdp│ ├── multimedia│ ├── multimodalinput│ ├── notification│ ├── os_account│ ├── powermgr│ ├── print│ ├── resourceschedule│ ├── security│ ├── sensors│ ├── startup│ ├── telephony│ ├── test_framework│ ├── update│ ├── usb│ ├── useriam│ ├── web│ ├── window│ └── xts└── test

运行验证：

将镜像烧录到开发板上，开机，hdc_std shell登录板子，在其中执行：ls -lZ / # 查看文件标签ls -lLZ /# 查看link源文件标签ps -eZ # 查看进程标签setenforce 1 # 使能selinux强制模式setenforce 0 # 是能selinux宽容模式,当前默认宽容模式getenforce # 获取selinux工作模式策略文件：/etc/selinux/targeted/policy/policy.31文件标签规则 /etc/selinux/targeted/policy/file_contextsselinux模式开关 /etc/selinux/config

日志解读：

//使用dmsg查看日志audit: type=1400 audit(1502458430.566:4): avc:denied{ open } forpid=1658 comm="setenforce" path="/sys/fs/selinux/enforce" dev="selinuxfs" ino=4 scontext=u:r:hdcd:s0 tcontext=u:object_r:selinuxfs:s0 tclass=file permissive=1//关键字：avc： denied//日志解读open#操作为openpid=1658#访问主体进程号为1658comm="setenforce" #访问主体进程名为setenforcepath="/sys/fs/selinux/enforce"#被访问客体为/sys/fs/selinux/enforcedev="selinuxfs" #被访问文件属于selinuxfs这一文件系统ino=4 #文件节点编号为4scontext=u:r:hdcd:s0#访问主体selinux标签为u:r:hdcd:s0tcontext=u:object_r:selinuxfs:s0 #被访问客体selinux标签为u:object_r:selinuxfs:s0tclass=file #当前告警属于file类型的操作permissive=1#当前selinux处于宽容模式，只告警不做访问拦截。强制模式时，做拦截， permissive=0//分析：缺少啥权限：denied{ open }谁缺少权限：scontext=u:r:hdcd:s0对哪个文件缺少：tcontext=u:object_r:selinuxfs:s0什么类型：tclass=file通用公式为：all {scontext} {tcontext}:{tclass} {denied权限}

策略编写：

根据avc告警，获取访问信息如：audit: type=1400 audit(1502458430.566:4): avc:denied{ open } forpid=1658 comm="setenforce" path="/sys/fs/selinux/enforce" dev="selinuxfs" ino=4 scontext=u:r:hdcd:s0 tcontext=u:object_r:selinuxfs:s0 tclass=file permissive=1对应规则为allow hdcd selinuxfs:file open;

提交仓：

仓名：OpenHarmony/security_selinux。位置：按照部件分类，比如wifi为sepolicy/ohos_policy/communication/wifi/system/xxx.te。加具体规则进对应te文件。