SEAndroid 知识点

一、DAC

      1、自主访问控制,Linux上的安全模型叫DAC，进程的权限与执行它的用户的权限一致，file针对所有者、所有者组、其他用户制定相关权限

二、MAC
      1、强访问控制,SELinux上的安全模型叫MAC，主体与客体之间制定详细的访问策略 (例如：主体为进程，客体为文件，二者之间制定详细的访问策略)

      2、相比DAC,更自由，更安全，更复杂

三、SELinux 的语法
      1、Security Context
               *例子：u:object_r:system_file:s0 
               *语法：user:role:type:sensitivity[:category...]-sensitivity[:category...]
               *解释：user：用户，SEAndroid定义了一个用户，u
                           role：角色，基于角色的访问控制叫做RBAC，一个user可以有多个role，不同的role权限不同，SEAndroid的角色有r和object_r
                           type：类型(TEAC Type Enforcement Accesc Control )，SEAndroid将系统中所有事物都定义了一个类型，访问策略是针对类型制定的，类型可以说是一类事物的归纳，这样访问策略的制定繁简由人。
                           sensitivity：等级，将系统中的事物进行分级，等级高的事物可以对等级低的事物进行读操作，等级低的事物可以对等级高的事物进行写操作，信息只能从低往高流，SEAndroid的等级只有s0等级
  
              *初始化：可以来自initial_sids、initial_sid_contexts or file_contexts
      2、Policy
              *例子：allow init CM_exec:file { getattr open read execute };
              *语法：rule_name source_type target_type:class perm_set
              *解释：rule_name：授权，[allow,allowwaudit,dontaudit,neverallow]，没有授权的策略，一律禁止
                         source_type：主体类型 在attributes文件中定义初始 (可以叫做域)
                         target_type：客体类型 在attributes文件中定义初始 (可以叫做域)

                         class：客体类型的某类事物 在security_classes文件中定义

                         perm_set：针对客体类型的某类事物的操作 在access_vectors文件中定义

  
             *初始化：可以来自各te文件 or 宏(mls_macros、te_macros文件)
             *子进程与子文件、子文件夹的类型转换(DT,TT)：初始状态子进程的类型与父进程的一致(文件、文件夹同理)，利用type_transition进行转换
                                                                                       type_transition 的语法：type_transition source_type target_type:class default_type
                                                                                       例子：type_transition init_t apache_exec_t:process apache_t     init_t域执行apache_exec_t域可执行文件后，将域默认切换成apache_t
       3、等级
             *概念：user:role:type:sensitivity[:category...]-sensitivity[:category...]
             *语法：sensitivity是等级 用dominance{s0 s1 s2...sn} 设置等级 s0最低
                         category是类别 类别之间没有层级之分
                         sensitivity[:category...]-sensitivity[:category...] 左边代表low security level;右边代表high security level

                         SLevel：例子：level s0:c0.c255 

   

       4、RBAC
              *概念：在TEAC之上还有一种RBAC的安全策略
              *语法：constrain object_class_set perm_set expression
                         u1 r1 t1 分别代表source的用户、角色、类型
                         u2 r2 t2 分别代表target的用户、角色、类型
              *例子：constrain file write (u1==u2 and r1==r2) 当用户、角色都相同时，才允许
              *SEAndroid：在android中是mlsconstrain 它也使能l1 h1(source 低高等级) -- l2 h2(target 低高等级)