Linux LSM Smack功能简介

1. LSM简介

Linux 中的安全模块LSM是一种轻量级的访问控制框架。用户在执行系统调用时，先通过内核接口依次执行功能性的错误检查，接着进行传统的DAC检查，在访问内核之前通过LSM钩子函数调用LSM，LSM根据具体的访问控制策略来决定方法的合法性，以此来实现访问控制。访问控制的架构图（不传了，其它地方也有）：

几个相关概念简介（也是来自copy）:

1. DAC (Discretionary Access Control) 自主访问控制

Linux文件系统中对文件的操作属于DAC，DAC的主要内容包括以下几个概念： 主体、客体、权限（rwx）、所有权（ugo)，由客体的属主对自己的客体进行管理，由主体决定是否将自己客体的访问权限授权给其他主体，这种控制方式是自主的。下面的例子看到bigxu用户对xgx管理的客体没有写权限，当bigxu主体对test.c文件进行写操作的时候会被拒绝，xgx用户可以决定test.c能否被bigxu用户写操作这就是DAC.在DAC系统中，文件的所有者是创建这个文件的计算机的使用者，此文件的自主访问控制权限由它的创建者来决定如何设置和分配;

bigxu@bigxu-UC7300-series:/home/xgx/smack/smack_test$ ls -lth test.c

-rw-r--r-- 1 xgx xgx 356 Jul 16 20:13 test.c

bigxu@bigxu-UC7300-series:/home/xgx/smack/smack_test$ whoami

bigxu

bigxu@bigxu-UC7300-series:/home/xgx/smack/smack_test$ echo "a" >> test.c

-bash: test.c: Permission denied

bigxu@bigxu-UC7300-series:/home/xgx/smack/smack_test$ 1234567

 

1. 2LSM钩子 

LSM框架下的访问策略包括selinux，smack，tomoyo，yama 用户还可以注册自己的钩子函数。每个策略都是通过各自的init函数调用register_security函数来注册，注册到LSM框架的模块被加载成功后，就可以进行访问控制。LSM里面给出了结构体security_operations，里面给出了很多钩子函数，实现了相关钩子函数就可以实现访问控制。

 

 

 

 

2 SMACK简介及内核配置方法

 

LSM框架下的访问策略包括selinux，smack，tomoyo，yama 用户还可以注册自己的钩子函数。每个策略都是通过各自的init函数调用register_security函数来注册，注册到LSM框架的模块被加载成功后，就可以进行访问控制。LSM里面给出了结构体security_operations，里面给出了很多钩子函数，实现了相关钩子函数就可以实现访问控制了。（LSM是软件策略，目前看来与硬件加解密模块无关）。目前信息看smack策略开销小，规则比较全面，策略简单直接，最适合嵌入式系统。

 

2.1内核配置