[置顶] Android系统访问控制之Smack安全策略设计与实现

1. 制定smack规则

“Zygote”进程由init进程创建，它负责创建系统服务进程“systemserver”、“radio”进程和APP进程。其中“radio”进程的uid是1001，它能够实现打电话和发短信的功能，“systemserver”进程uid是1000，它负责创建系统服务组件，通讯录进程uid是10000，它能够访问通讯录数据库，uid大于等于10000的进程都属于Android应用程序进程。

为了实现对“radio”和通讯录进程的访问控制，本课题使用“libsmack”库中“setsmack”函数将“radio”进程的安全标签设置为“1001”。将通讯录进程的安全标签设置为“10000”。需要强调的是，上面两个uid是被Android系统硬编码，不随Android版本改变而改变。假设某个进程的uid是XXX，当“Zygote”进程“fork”此进程时，该进程首先是一个特权进程，因此它可以使用“setsmack”函数将自身安全标签设置为“XXX”，并装载Smack安全策略。本研究课题在经过大量实验基础上总结得出下面规则：

（1）确保一个进程正常运行：“XXX  _  rwxa”&& “_ XXX  rwxa”

由于Smack被编译到Android系统中，因此，在默认情况下，Android系统所有文件和进程的安全标签都是“_”，一个被重新设置过安全标签的进程要想正常运行，必然要和安全标签是“_”进程进行通信或者读写某些安全标签是“_”的文件。

（2）禁止一个进程正常运行：“XXX  _  ----”

（3）禁止一个进程发生短信：“XXX  1001  ----”

任何一个进程要想发送短信必须在“Binder Driver”中与“radio”进程通信，因此，只要该进程不能发送消息给“radio”进程，那么该进程就不能完成发送短信的功能。

（4）容许一个进程发生短信：“XXX  1001  rwxa”&& “1001 XXX  rwxa”

（5）容许通讯录进程正常访问通讯录：“10000 contact  rwxa”

“/data/data/com.android.providers.contacts/database/contact2.db”存放通讯录里的信息，为此，在“dalvik_system_Zygote.cpp”中使用“libsmack”库中的函数“setxattr”将这个数据库文件的安全标签设置为“contact”。为了使通讯录进程能够正常访问通讯录，必须保证通讯录进程对此数据库文件有读、写、执行和“盲写”的权限。

（6）容许一个进程正常访问通讯录：

“XXX  10000 rwxa” && “10000  XXX rwxa”

在具备规则5的前提下，一个进程要想访问通讯录，它必须与通讯录进程在“Binder Driver”中通信，为此必须容许这两个进程能够互相发送消息给对方。

（7）禁止一个进程访问通讯录和通话记录：“XXX 10000  ----”

（8）容许一个进程访问短信记录：“XXX  sms  rwxa”

“/data/data/com.android.providers.telephony/database/mmssms.db”是短信和彩信的信息数据库文件，同样也是使用函数“setxattr”将这个数据库文件设置安全标签“sms”，任何一个进程要想查看短信，必须能够访问此数据库文件。

（9）禁止一个进程访问短信记录：“XXX  sms  ----”

（10）容许一个进程访问SD卡文件：“XXX sdcard  rwxa”

Smack是利用虚拟文件系统VFS的“inode”和“super_block”为文件系统设置安全标签，因此不管SD卡采用什么样的文件系统，SD卡上的文件均可以被设置安全标签“sdcard”。

(11) 禁止一个进程访问SD卡文件：“XXX  sdcard ----”

(12) 禁止Android系统打电话和发短信：“1001  _  ----”

这里的“_”代表了radio守护进程，它是由“init”进程创建的，它的可执行文件是“/system/bin/radio”，Android系统打电话和发短信功能最终是要靠它来驱动硬件实现。“1001”进程就是在“Binder Driver”中与radio守护进程进行通信，从而完成了打电话和发送短信的功能。如果想要禁止Android系统中所有进程打电话和发短信，只要“1001”进程不能发消息给radio守护进程即可。

(13) 容许Android系统正常打电话和发短信：

“1001  _  rwxa”&& “_  1001 rwxa”

2. 装载smack策略

由于Zygote每“fork”子进程，该子进程首先是一个特权进程，如下所示：

dvmDumpLoaderStats("zygote");

pid = fork();

if (pid == 0) {

int err;

... ...

}

因此，可以在定义变量err之后加入控制代码。这里，本课题设计了如下四个函数：

#ifdef HAVE_SMACK

/*

* set process self smack label and smack rules

* return -1 if the database can not be opencorrectly

* return 2 if the uerId can not be found inthe smack rules table

* else return 1 if the smack label and rulecan be set correctly

* else return 0 if the smack label can not beset correctly

* */

static int setsmacklabelrules(intuserId);

setsmacklabelrules是根据uerId值到安全策略数据库中，查找相关的smack规则。

/*

* set sdcard label to the files on sdcard interms of encryptedfiles table

* return -1 if the database can not be opencorrectly

* return 1 if files xattr can be set correctlyon the sdcard

* else return 0

* */

#ifdef HAVE_SMACK

static intsetlabelTosdcardfiles();

setlabelTosfcardfiles是从sdcard文件列表中查找文件的绝对路径，并调用setxattr为文件设置安全标签，在此，设置短信数据库和通讯录数据库安全标签的代码也放入其中，如下所示：

if(setxattr("/data/data/com.android.providers.telephony/databases/mmssms.db",SMACKATTR, "sms", strlen("sms") + 1, 0) < 0) {

xattr = false;

}

if(setxattr("/data/data/com.android.providers.contacts/databases/contacts2.db",SMACKATTR, "contact", strlen("contact") + 1, 0) < 0) {

xattr = false;

}

为了能够进一步控制打电话和发短信行为，本课题设计了InitializeOutgoingcallwhitelist函数将白名单数据表内容导入白名单配置文件中，如下所示：

#ifdef HAVE_SMACK

/*

* to initialize outgoingcallwhitelist

* return 1 if the outgoingcallwhitelist fileis initialized correctly

* else return 0

* */

static int InitializeOutgoingcallwhitelist();

又因为radio所属的组是user，所以它不能读取Zygote创建的白名单配置文件，所以必须使用chmod修改白名单配置文件的访问模式。