linux lsm实现进程白名单,linux安全模块学习之LSM的介绍实现

原标题：linux安全模块学习之LSM的介绍实现

文章来自公众号：睿江云计算

相关背景介绍

近年来Linux系统由于其出色的性能和稳定性，开放源代码特性带来的灵活性和可扩展性，以及较低廉的成本，而受到计算机工业界的广泛关注和应用。

但在安全性方面，Linux内核只提供了经典的UNIX自主访问控制(root用户，用户ID，模式位安全机制)，以及部分的支持了POSIX.1e标准草案中的capabilities安全机制，这对于Linux系统的安全性是不足够的，影响了Linux系统的进一步发展和更广泛的应用。

Linux安全模块(LSM)是Linux内核的一个轻量级通用访问控制框架。它使得各种不同的安全访问控制模型能够以Linux可加载内核模块的形式实现出来，用户可以根据其需求选择适合的安全模块加载到Linux内核中，从而大大提高了Linux安全访问控制机制的灵活性和易用性。

Linux安全模块(LSM)的设计必须尽量满足两方面人的要求：让不需要它的人尽可能少的因此得到麻烦；同时让需要它的人因此得到有用和高效的功能。

以Linus Torvalds为代表的内核开发人员对Linux安全模块(LSM)提出了三点要求：

• 真正的通用，当使用一个不同的安全模型的时候，只需要加载一个不同的内核模块

• 概念上简单，对Linux内核影响最小，高效，

• 能够支持现存的POSIX.1e capabilities逻辑，作为一个可选的安全模块

另一方面，各种不同的Linux安全增强系统对Linux安全模块(LSM)提出的要求是：能够允许他们以可加载内核模块的形式重新实现其安全功能，并