17、安卓开发环境搭建与SELinux策略应用指南

安卓开发环境搭建与SELinux策略应用指南

1. 开发环境概述

为了构建UDOO提供的Android 4.3源代码，需要一个安装了Oracle Java 6的Ubuntu Linux系统。Google针对Android 4.3的标准目标开发平台是Ubuntu 12.04，使用此配置能提高在Linux、SE Linux、Android、UDOO和SE for Android探索中的成功概率。

2. 所需操作步骤

在搭建环境过程中，需要完成以下操作：
- 使用虚拟机（VM）下载并安装Ubuntu 12.04。
- 安装VirtualBox扩展包和VirtualBox客户机附加组件以提升VM性能。
- 设置适合构建Linux内核和UDOO源代码的开发环境。
- 安装Oracle Java 6。

3. VirtualBox的选择与使用

有多种虚拟化产品可用于运行Ubuntu Linux等客户操作系统，但这里选择VirtualBox。它是一个广泛使用的开源虚拟化系统，支持Mac、Linux、Solaris和Windows等主机，能支持多种客户操作系统。还可利用许多现代/常见处理器系列的硬件虚拟化功能，为每个虚拟机提供独立的私有地址空间以提高性能。可参考 VirtualBox官方文档 进行安装和运行。

4. Ubuntu Linux 12.04的安装

要安装Ubuntu Linux 12.04，需先从 http://releases.ubuntu.com/12.04/ 下载合适的发行版镜像，这里选择64位桌面版 http://releases.ubuntu.com/12.04/ubuntu-12.04.5-desktop-amd64.iso 。以下是安装步骤：
1. 在主机上启动VirtualBox，等待虚拟机管理器窗口出现。
2. 点击“New”。
3. 在“Name and Operating System”设置中，进行如下选择：
- Name: SE for Android Book
- Type: Linux
- Version: Ubuntu (64 bit)
4. 将内存大小设置为至少16GB，否则构建可能失败。
5. 设置硬盘时，选择“Create a virtual hard drive now”，并将其大小设置为至少80GB。
6. 选择硬盘文件类型为VDI（VirtualBox Disk Image）。
7. 确保物理硬盘上的存储设置为动态分配。
8. 当提示输入文件位置和大小时，将新虚拟硬盘命名为“SE for Android Book”，并设置大小为80GB。

选择“SE for Android Book”虚拟机，点击绿色“Start”箭头进行首次启动。在弹出的对话框中，点击小文件夹图标，定位到之前下载的“ubuntu-12.04.5-desktop-amd64.iso”镜像文件，然后点击“Start”。

当屏幕变黑且虚拟机窗口底部中央显示键盘图像时，按任意键开始Ubuntu安装。选择合适的语言（示例中为英语），然后选择“Install Ubuntu”。

有时可能会在虚拟机窗口中看到类似“SMBus base address uninitialized”的错误信息，这是由于VirtualBox不支持Ubuntu 12.04默认加载的特定内核模块，但不影响安装。片刻后，会出现图形化安装界面，再次选择语言（示例中为英语）。

在“Preparing to install Ubuntu”屏幕上，确保主机已连接电源并建立网络连接，尽管这并非必需。可勾选“Download updates while installing”和“Install this third-party software”。

在“Installation type”屏幕上，选择“Erase disk and install Ubuntu”，这只会擦除虚拟机的虚拟硬盘，不会影响主机系统。在“Erase disk and install Ubuntu”屏幕上，虚拟硬盘应已选中，点击“Install Now”。

后续安装中，安装程序会在后台准备虚拟硬盘以安装基础系统，同时需配置新系统的一些基本方面。先在世界地图上选择时区，再选择键盘布局。

设置第一个用户账户，输入以下信息：
- Your Name: Book User
- Your computer’s name: SE - for - Android
- Pick a username: bookuser
- Password fields: 自定义密码

选择“Log in automatically”以方便在本地虚拟机中使用。

安装完成后，点击“Restart now”，片刻后按提示移除虚拟安装光盘，通过“Devices | CD/DVD Devices | Remove disk from virtual drive”操作，然后按Enter重启虚拟机，可通过关闭虚拟机窗口中断启动过程，点击“OK”关机。

5. VirtualBox扩展包和客户机附加组件的安装

为获得最佳性能并访问与UDOO配合使用所需的虚拟USB设备，需安装VirtualBox扩展包和客户机附加组件。

VirtualBox扩展包安装 ：从 VirtualBox官网 下载适用于所有支持平台的扩展包文件。Linux和Mac OS X主机可直接双击下载的文件进行安装，Windows系统则需运行安装程序。

VirtualBox客户机附加组件安装 ：安装扩展包后，从VirtualBox启动Ubuntu Linux 12.04虚拟机。当Ubuntu桌面启动后，若屏幕不适合虚拟机窗口，可通过安装客户机附加组件解决。不要点击提示的Ubuntu更新窗口，直接关闭。使用VirtualBox菜单栏，选择“Devices | Insert Guest Additions CD Image…”，在弹出对话框中点击“Run”，输入用户密码进行身份验证。脚本将自动构建并更新多个内核模块。完成后，点击屏幕右上角的齿轮，选择“Shutdown…”，再点击“Restart”重启虚拟机。重启后，若虚拟机屏幕能适应窗口大小且可随窗口调整，则表示安装成功。

6. 共享文件夹的设置

为提高开发UDOO镜像时的整体性能，可在主机系统和Ubuntu Linux客户机系统之间设置共享文件夹。构建新SD卡镜像后，可通过共享文件夹直接让主机访问，避免通过虚拟化层访问主机读卡器导致的时间增加，在示例系统中，每次刷机可节省约10分钟。

设置步骤如下：
1. 打开VirtualBox管理器，关闭Ubuntu虚拟机。
2. 点击“Settings”工具栏图标。
3. 在打开的设置对话框中选择“Shared Folders”选项卡。
4. 点击右侧的“Add Shared Folder”图标。
5. 输入主机上要共享的文件夹路径，示例中创建了名为“vbox_share”的文件夹。
6. VirtualBox会自动生成文件夹名称，确保选择“Auto - mount”后点击“OK”。

从现在起启动Ubuntu虚拟机，共享文件夹将在客户机虚拟机中以“/media/sf_ ”形式访问。若尝试列出该目录中的文件被拒绝，可通过以下命令为“bookuser”用户添加对该文件夹的读写权限：

$ sudo usermod -a -G vboxsf bookuser

注销并重新登录客户机或重启虚拟机完成操作。

7. 构建环境的设置

为准备系统以构建Linux内核、Android和Android应用程序，需安装和设置一些关键软件。点击屏幕左侧启动栏顶部的Ubuntu仪表盘图标，在搜索栏中输入“term”并按Enter打开终端窗口，执行以下命令：

$ sudo apt-get update
$ sudo apt-get install apt-file git-core gnupg flex bison gperf build-essential zip curl zlib1g-dev libc6-dev lib32ncurses5-dev ia32-libs x11proto-core-dev libx11-dev ia32-libs dialog liblzo2-dev libxml2-utils minicom

当提示是否继续时，输入“y”并按Enter。

8. Oracle Java 6的安装

从 Oracle Java存档网站 下载最新的Java 6 SE开发工具包（版本6u45），选择“jdk - 6u45 - linux - x64.bin”以满足Google的目标开发环境要求。下载完成后，执行以下命令安装Java 6 JDK：

$ chmod a+x jdk-6u45-linux-x64.bin
$ sudo mkdir -p /usr/lib/jvm
$ sudo mv jdk-6u45-linux-x64.bin /usr/lib/jvm/
$ cd /usr/lib/jvm/
$ sudo ./jdk-6u45-linux-x64.bin
$ sudo update-alternatives --install "/usr/bin/java" "java" "/usr/lib/jvm/jdk1.6.0_45/bin/java" 1
$ sudo update-alternatives --install "/usr/bin/jar" "jar" "/usr/lib/jvm/jdk1.6.0_45/bin/jar" 1
$ sudo update-alternatives --install "/usr/bin/javac" "javac" "/usr/lib/jvm/jdk1.6.0_45/bin/javac" 1
$ sudo update-alternatives --install "/usr/bin/javaws" "javaws" "/usr/lib/jvm/jdk1.6.0_45/bin/javaws" 1
$ sudo update-alternatives --install "/usr/bin/jar" "jar" "/usr/lib/jvm/jdk1.6.0_35/bin/jar" 1
$ sudo update-alternatives --install "/usr/bin/javadoc" "javadoc" "/usr/lib/jvm/jdk1.6.0_45/bin/javadoc" 1
$ sudo update-alternatives --install "/usr/bin/jarsigner" "jarsigner" "/usr/lib/jvm/jdk1.6.0_45/bin/jarsigner" 1
$ sudo update-alternatives --install "/usr/bin/javah" "javah" "/usr/lib/jvm/jdk1.6.0_45/bin/javah" 1
$ sudo rm jdk-6u45-linux-x64.bin

9. 安卓系统相关概念与操作

9.1 Android安全模型

Android使用DAC（自主访问控制），其安全模型涉及系统组件服务和应用程序。系统组件服务包括Activity Manager Service（AMS）、Radio Interface Layer Daemon（RILD）、system server等，它们在系统运行中起着不同的关键作用。应用程序方面，存在应用标签的限制，需要关注安全问题。

9.2 SELinux相关

SELinux（安全增强型Linux）是一种重要的安全机制。在Android系统中，需要在Linux内核中启用SELinux，以增强系统的安全性。SELinux的策略构建包括sepolicy的构建、mac_permissions.xml的构建、seapp_contexts的构建、file_contexts的构建和property_contexts的构建等。在构建过程中，可以通过一些变量来控制策略构建，如BOARD_SEPOLICY_DIRS、BOARD_SEPOLICY_UNION、BOARD_SEPOLICY_REPLACE和BOARD_SEPOLICY_IGNORE。

同时，还可以使用sepolicy - analyze和sepolicy - check等工具来分析和检查SELinux策略。对于SELinux的拒绝日志，可参考fixup.py脚本（ 相关URL ）进行解释。

10. 其他系统相关概念与操作

10.1 审计系统

审计系统由auditd守护进程和审计日志组成。auditd守护进程负责记录系统的安全相关事件，审计日志则存储了这些事件的详细信息。通过分析审计日志，可以发现潜在的安全问题。

10.2 上下文与权限管理

上下文（contexts）在系统中起着重要作用，它可以将不同的域进行映射，还涉及控制属性和持久属性等特殊属性。在权限管理方面，需要关注对文件系统、进程和属性的权限设置。例如，可通过chcon命令更改文件或进程的上下文，还可以通过修改权限位和更改所有者和组来管理权限。

10.3 文件系统相关操作

文件系统的管理包括定位、查询和标记等操作。可以通过一些特殊文件和目录来管理SELinux的状态，如enforce文件用于控制SELinux的强制模式，disable文件接口可用于禁用某些功能，policy文件存储了SELinux策略等。在标记文件系统时，可以使用fs_use、fs_task_use、fs_use_trans和genfscon等规则。

11. 系统组件与服务的策略编写

在为新设备开发SE for Android策略时，需要为各种系统组件和服务编写策略，如adbd、bootanim、debuggerd、drmserver、dumpstate、installd、keystore、mediaserver、netd、rild、servicemanager、surfaceflinger、system_server、toolbox、untrusted_app、vold、watchdogd和wpa等。这些策略的编写需要结合系统的实际需求和安全要求。

12. 总结与展望

通过以上步骤，我们完成了Android开发环境的搭建，并了解了SELinux策略的编写和应用。在实际开发中，由于SE for Android是一个较新的特性，可能会出现需要代码更改和策略更改的问题，因此需要同时理解代码和策略。作为策略编写者和安全人员，有责任确保系统的安全。SE for Android和AOSP项目欢迎大家贡献，通过贡献可以让项目变得更好，增强所有用户的功能集。在未来的开发中，我们可以进一步优化SELinux策略，提高系统的安全性和稳定性。同时，随着Android系统的不断发展，我们需要持续关注新的安全问题和解决方案，不断更新和完善我们的开发环境和策略。

安卓开发环境搭建与SELinux策略应用指南

13. 系统漏洞与补丁

在Android系统中，存在一些已知的漏洞，了解这些漏洞有助于我们更好地加强系统安全。以下是一些常见的Android漏洞：
| 漏洞名称 | 描述 |
| — | — |
| Skype漏洞 | 影响Skype应用在Android系统上的安全性 |
| GingerBreak | 针对特定版本Android系统的漏洞 |
| CVE - 2010 - EASY | 可导致系统权限提升等安全问题 |
| MotoChopper | 影响摩托罗拉设备上Android系统的漏洞 |

为了修复这些漏洞，需要及时应用补丁。可以从相关的URL获取补丁，如AOSP设备的补丁、binder补丁、kernel - common项目的补丁以及NSA研究文件等。

graph LR
    A[发现漏洞] --> B[查找补丁]
    B --> C[应用补丁]
    C --> D[验证修复效果]

14. 兼容性测试与相关设置

14.1 兼容性测试套件（CTS）

兼容性测试套件（CTS）是确保Android设备和应用程序兼容性的重要工具。设置CTS的步骤如下：
1. 获取CTS二进制文件（ 相关URL ）。
2. 配置测试环境，确保设备连接正常。
3. 运行CTS测试，可通过特定命令启动测试。
4. 收集CTS测试结果，分析测试报告，查看是否存在兼容性问题。

14.2 控制属性与持久属性

控制属性和持久属性在系统的配置和管理中起着重要作用。控制属性可用于实时控制某些系统功能，而持久属性则在系统重启后仍然保持其设置。例如，SELinux属性就是一种特殊的控制属性，可用于控制SELinux的工作模式。

15. 动态域转换与类型转换

15.1 动态域转换

动态域转换允许进程在运行时改变其安全域，这为系统的灵活性和安全性提供了更好的支持。通过使用 define 关键字和相关规则，可以定义动态域转换的条件和行为。

15.2 动态类型转换

动态类型转换可在运行时改变文件或进程的类型。这有助于根据不同的系统状态和需求，灵活地调整系统的安全策略。例如，在某些情况下，可根据用户的操作或系统事件，动态地改变文件的类型标签。

16. 系统组件的安全加固

16.1 Zygote的安全加固

Zygote是Android系统中用于创建应用程序进程的重要组件。为了确保Zygote的安全性，需要进行以下操作：
1. 安全策略配置 ：通过mac_permissions.xml文件和seapp_contexts等配置文件，为Zygote设置合适的安全策略。
2. 密钥管理 ：使用keys.conf文件管理Zygote的密钥，确保通信的安全性。
3. 套接字配置 ：对Zygote的套接字进行合理的配置，如Plumbing the zygote socket，防止外部的非法访问。

16.2 其他系统组件

除了Zygote，其他系统组件如Activity Manager Service（AMS）、Radio Interface Layer Daemon（RILD）等也需要进行安全加固。这包括为它们编写合适的SELinux策略，限制其访问权限，防止潜在的安全漏洞。

17. 工具与命令的使用

在Android开发和安全管理中，有许多实用的工具和命令：
| 工具/命令 | 功能 |
| — | — |
| getenforce | 查看SELinux的当前状态（disabled、permissive、enforcing） |
| chcon | 更改文件或进程的上下文 |
| sepolicy - analyze | 分析SELinux策略 |
| sepolicy - check | 检查SELinux策略的正确性 |

18. 总结与最佳实践

通过以上对Android开发环境搭建、SELinux策略应用以及系统安全管理的介绍，我们可以总结出以下最佳实践：
1. 定期更新系统和补丁 ：及时修复已知的安全漏洞，保持系统的安全性。
2. 合理配置SELinux策略 ：根据系统的实际需求和安全要求，为不同的系统组件和服务编写合适的SELinux策略。
3. 监控审计日志 ：通过分析审计日志，及时发现潜在的安全问题，并采取相应的措施。
4. 进行兼容性测试 ：在开发和部署应用程序时，使用CTS进行兼容性测试，确保应用程序在不同的Android设备上正常运行。

在实际开发过程中，我们还需要不断学习和掌握新的技术和方法，以应对不断变化的安全挑战。同时，积极参与开源项目，与其他开发者分享经验和成果，共同推动Android系统的安全发展。

graph LR
    A[开发环境搭建] --> B[SELinux策略应用]
    B --> C[系统安全管理]
    C --> D[定期更新与监控]
    D --> E[持续优化与改进]

通过遵循这些最佳实践，我们可以构建出更加安全、稳定和可靠的Android系统。在未来的开发中，随着技术的不断进步，我们还需要不断探索新的安全机制和方法，以适应日益复杂的安全环境。