Android系统app的domain（安全上下文）设定方法

置顶

铁桶小分队

已于 2024-03-11 10:34:34 修改

阅读量4k

点赞数 2

分类专栏： Android SELinux 安全文章标签： SEAndroid

于 2019-09-21 16:54:30 首次发布

本文链接：https://blog.csdn.net/keheinash/article/details/101108686

版权

本文详细介绍了在Android系统中设定Java应用程序的安全上下文，涉及apk签名、seinfo值、安全上下文和user字段等内容。通过修改mac_permissions.xml和seapp_contexts文件，结合SELinux策略，可以为已签名的app定制安全上下文。

摘要由CSDN通过智能技术生成

背景

在运行了SELinux的Linux系统中，一般通过为C/C++编写的可执行文件指定特殊的安全上下文，然后用type_transition语句设定这些文件被执行后，产生对应的C/C++进程的安全上下文，通过这种方法，可以为系统的所有C/C++进程设定我们需要的安全上下文。

在Android系统中，除了C/C++进程外，还有大量的java应用，上述的通过type_transition指定安全上下文的方法对于java应用不再适用，其设定安全上下文的方法要复杂一些，关系到apk本身的签名证书，本文将讲述如何设定Android O中java应用的安全上下文。

java app安全上下文的设定原理

apk的签名

签名的类型

Android上的apk都是经过签名的，原生代码中提供了4种key用于build阶段为应用进行签名：

*Media
*Platform
*Shared
*Testkey

在Android源码的build/target/product/security目录下，存放着这四种类型对应的私钥和x509格式的证书：
在这里插入图片描述

指定apk使用哪种签名

在每个apk的Android.mk文件中，有一个LOCAL_CERTIFICATE字段，由它指定用哪个key签名，如未通过这个字段进行指定，则默认用testkey。
在这里插入图片描述

指定apk的seinfo的值

在Android源码的system/sepolicy/private/mac_permissions.xml文件中，可以根据apk的签名类型，来指定apk的seinfo的值。以下图为例，当apk的签名是Platform类型时，其对应的seinfo的值是platform。如果没有指定签名类型对应的seinfo的值，则seinfo的值默认使用default。
这个seinfo的值对apk的安全上下文的值十分重要，下面会详细描述，我们先记住是在mac_permissions.xml这个文件通过signature的类型设定apk的seinfo值。
在这里插入图片描述