深入理解 SEAndroid：应用程序目录的 SELinux 安全上下文与访问控制机制

fromair

于 2025-03-22 13:28:09 发布

阅读量1k

点赞数 21

文章标签：安全 android

本文链接：https://blog.youkuaiyun.com/fromair/article/details/146438554

版权

在 Android 系统中，安全性一直是一个核心关注点。为了应对各种安全威胁，Android 引入了 SELinux（Security-Enhanced Linux）作为强制访问控制（MAC）机制，提供了一种有效的安全防护方案。SEAndroid 是 SELinux 在 Android 系统中的实现，它增强了 Android 系统的安全性，防止了诸如恶意软件、特权提升等潜在的安全威胁。

本文将深入探讨 SEAndroid 如何管理 应用程序文件 的安全上下文，并阐述 PMS（Package Manager Service） 和 installd（安装守护进程） 如何创建应用程序专有的数据存储目录，并为其关联合适的 SELinux 安全上下文。此外，还将探讨 Android 系统中的 三重保护机制，以及 SELinux 在 AOSP 中的目录结构。

1. SEAndroid 和 SELinux 安全模型概述

SELinux 安全模型

SELinux（Security-Enhanced Linux）是一种强制访问控制（MAC）机制，它的核心是通过 安全上下文 来对文件、进程和资源的访问进行严格控制。在 SELinux 中，每个进程和文件都会被分配一个 安全上下文（Security Context），采用 user:role:type:security 的格式：

user:role:type:security

user：表示用户，通常是 u（unprivileged）。
role：表示角色，通常是 r（例如：system_r）。
type：表示类型，是最关键的部分，定义了对象的访问权限。
security：表示安全级别，通常为 s0，用于表示系统的多级安全（MLS）级别。

例如，对于应用程序数据目录 /data/data/com.example.app/，其 SELinux 上下文可能为：

u:object_r:app_data_file:s0

这表明该目录属于 app_data_file 类型，且只能由符合该类型规则的进程访问。

SEAndroid 中的安全上下文

在 SEAndroid 中，每个进程和资源（包括文件、目录、设备等）都被分配一个 SELinux 上下文，确保应用之间、系统进程与应用之间的隔离，避免非法访问。

2. 三重保护机制：Android 系统的安全防护

DAC（Discretionary Access Control）

DAC 是最基础的访问控制机制，它基于文件和目录的权限管理（如用户、组和其他）。在 Android 中，DAC 使用的是传统的 UGO 权限模型：

User（用户）：文件的拥有者。
Group（组）：与文件共享相同权限的用户组。
Others（其他）：不属于文件拥有者和其组的所有其他用户。

DAC 权限虽然简单，但缺乏严格的安全控制，容易被绕过。

MAC（Mandatory Access Control）

在 Android 中，SELinux 实现了 MAC，即强制访问控制。SELinux 通过定义每个对象（如文件、进程）和用户（或进程）的 安全上下文 来强制限制访问。通过 SELinux 策略（如 allow、deny、neverallow 规则），系统可以严格地控制哪些进程能访问哪些资源，从而有效防止恶意应用访问不应访问的敏感数据。

SeAndroid（SEAndroid）

SEAndroid 是 Android 系统中基于 SELinux 的实现，它增强了系统的安全性。通过对系统文件、应用数据、系统属性等资源对象的访问进行严格的安全策略管理，SEAndroid 提供了多层次的防护。例如，系统进程只能访问特定的系统资源，而应用程序只能访问自己专属的数据目录，且通过 SELinux 策略加以保护。

这三种保护机制结合起来形成了 Android 系统的 三重保护，即：

DAC（基于 UGO 权限模型的文件系统权限管理）
MAC（基于 SELinux 强制访问控制）
SEAndroid（针对 Android 系统和应用的 SELinux 策略）

这种多重防护机制确保了 Android 系统具有更强的安全性，可以有效抵御各种恶意攻击。

3. SEAndroid 的应用程序目录及安全上下文

PMS 和 installd 的角色

在 Android 系统中，应用程序的专有数据存储目录位于 /data/data/ 目录下。每个应用都会在该目录下有一个独立的子目录，用于存储应用的数据文件。

PMS（Package Manager Service）：负责管理和查询应用包的信息，决定应用安装的路径。
installd（安装守护进程）：在应用安装过程中，实际执行应用文件的解压、复制操作，并创建必要的文件系统目录。

应用程序数据目录的创建过程

PMS 会根据应用的包名（<package_name>）和安装信息，决定应用程序的数据存储目录。
installd 会在 /data/data/ 下为每个应用创建一个唯一的目录（例如 /data/data/com.example.app/）。
installd 创建目录后，会根据 SELinux 策略和文件上下文规则为该目录分配一个特定的 安全上下文。

4. 如何关联 SELinux 安全上下文

分配安全上下文

在 SEAndroid 中，系统会根据 应用的 UID 和类型来为应用的目录分配一个 SELinux 类型。该类型控制着该目录的访问权限。

UID：每个应用在 Android 系统中都会被分配一个唯一的用户 ID（UID）。例如，应用的 UID 可能是 10001，对应一个特定的进程和数据目录。
类型：与 UID 关联的 SELinux 类型（如 app_data_file）用于控制进程对该目录的访问。

当 installd 创建 /data/data/<package_name>/ 目录时，它会根据 文件上下文规则（file_contexts）为该目录分配一个安全上下文。例如：

/data/data/com.example.app/     u:object_r:app_data_file:s0

安全上下文的映射

这个规则的含义是：

/data/data/com.example.app/ 目录将会被分配 u:object_r:app_data_file:s0 这个安全上下文。
- u：用户。
- object_r：对象角色。
- app_data_file：目录类型。
- s0：安全级别。

通过这种方式，每个应用的数据目录都被分配了一个独特的安全上下文，以确保应用之间的数据隔离。

5. SELinux 策略文件中的安全控制

文件上下文规则

file_contexts 是 SELinux 策略中用于定义文件与 SELinux 类型映射的配置文件。它描述了在文件系统中的每个路径如何与 SELinux 类型关联。常见的 file_contexts 配置可能如下所示：

/data/data/.*     u:object_r:app_data_file:s0

这条规则表示所有位于 /data/data/ 下的目录（即每个应用的存储目录）都将被标记为 app_data_file 类型，并遵循相应的访问控制规则。

SEAndroid 策略

SEAndroid 通过 sepolicy 文件来定义 SELinux 策略，规定进程对资源的访问权限。sepolicy 文件由多个部分组成：

.te 文件（Type Enforcement 文件）：定义类型强制（TE）规则，控制进程对资源的访问。
file_contexts：定义文件的 SELinux 上下文。
property_contexts：定义系统属性的 SELinux 上下文。
service_contexts：定义系统服务的 SELinux 上下文。

在这些规则中，allow 语句定义了哪些进程可以访问哪些资源：

allow system_server app_data_file:dir { read write };

这条规则允许 system_server 进程对 app_data_file 类型的目录进行读写操作。

6. SELinux 在 AOSP 中的目录结构

在 AOSP 中，SELinux 策略文件被组织在多个目录中，关键的目录如下：

system/sepolicy/：存放 SELinux 策略文件的目录，包含了 sepolicy、file_contexts、service_contexts 等文件。
system/sepolicy/te/：存放 Type Enforcement 文件的目录，这些文件定义了 SELinux 的类型强制规则。
system/sepolicy/file_contexts：定义了文件的 SELinux 安全上下文。
system/sepolicy/seinfo：用于调试和分析 SELinux 信息的文件。

这些目录和文件协同工作，确保 SELinux 策略在 AOSP 中的有效实施。