The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

CyanogenMod интегрирует поддержку SELinux

21.07.2013 00:07

Разработчики проекта CyanogenMod, в рамках которого независимым сообществом развивается альтернативная сборка платформы Android, объявили о проведении работы по интеграции наработок SEAndroid (Security Enhancements for Android) для добавления в развиваемую проектом прошивку средств принудительного контроля доступа SELinux.

SELinux разработан Агентством национальной безопасности США, входит в состав ядра Linux с 2003 года и уже достаточно давно поддерживается в таких дистрибутивах как Fedora, Red Hat Enterprise Linux, Debian, Ubuntu, openSUSE и SUSE Linux Enterprise. Несмотря на спекуляции в прессе о возможных закладках АНБ, SELinux никаким образом не должен восприниматься в контексте программ слежки, подобных PRISM, так как код был многократно проверен и подвергнут независимому аудиту, а также более 10 лет развивается при активном участии сообщества и ведущих Linux-вендоров.

До сих пор средства контроля доступа SELinux не использовались в платформе Android, несмотря на то, что данная технологии изначально поддерживается ядром Linux, лежащим в основе данной мобильной платформы. В рамках проекта SEAndroid c начала 2012 года развивается набор дополнений и правил SELinux, учитывающих особенности архитектуры платформы Android и, в частности, модели запуска приложений и разделения привилегий между ними.

Внедрение SELinux позволит существенно повысить изоляцию системных приложений платформы Android, которым будет предоставлен только доступ к заявленным функциям и данным. Все нештатные операции будут блокироваться, что даст возможность предотвратить несанкционированные действия в случае взлома приложения в результате атаки. При текущей дискретной модели разделения привилегий, взлом системного сервиса, работающего с правами root, открывает для злоумышленника неограниченный доступ к платформе и данным пользователя. Активация SELinux позволит блокировать атаки на системные сервисы.

SELinux для Android отличается адаптацией компонентов пользовательского уровня для работы поверх системной библиотеки Bionic вместо Glibc, интеграцией в систему инициализации Android и сервис запуска новых процессов виртуальной машины, добавлением поддержки меток SELinux для файловой системы yaffs2, набором специфичных правил для системных сервисов Android и популярных сторонних приложений, таких как Skype.

Примечательно, что компания Google также работает над интеграцией правил разделения доступа на основе SELinux в Android, но пока не активирует их в основной платформе. Официальная поддержка SELinux ожидается в выпуске Android 4.3, который по неофициальным данным будет представлен 24 июля. Работа по интеграции SELinux в CyanogenMod ведётся независимо от Google. По умолчанию в прошивках CyanogenMod будет активирован Permissive-режим SELinux, подразумевающий лишь ведение логов аудита, без жесткого блокирования нарушений правил. После того как накопится достаточная статистика о корректности работы сформированных правил, не исключается включение по умолчанию режима "Enforcing".

  1. Главная ссылка к новости (http://www.cyanogenmod.org/blo...)
  2. OpenNews: WhisperCore - Android-прошивка с защитой от вредоносных приложений
  3. OpenNews: Для CyanogenMod представлена функция запуска приложений в режиме инкогнито
  4. OpenNews: Выход CyanogenMod 10.1.0, независимой сборки мобильной платформы Android
  5. OpenNews: Представлен вариант платформы Android для контроля за поведением сторонних приложений
  6. OpenNews: Представлен проект по интеграции SELinux в Android
Лицензия: CC-BY
Тип: Интересно / К сведению
Короткая ссылка: https://opennet.ru/37470-cyanogenmod
Ключевые слова: cyanogenmod, selinux, seandroid
Поддержать дальнейшую публикацию новостей на OpenNET.


Обсуждение (45) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (-), 00:20, 21/07/2013 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    openpdroid будет не нужен?
     
  • 1.2, Аноним (-), 00:36, 21/07/2013 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/
    Я смотрю такими темпами они сделают свой независимый форк андроида? По теме: отличная новость
     
     
  • 2.24, GG (ok), 12:30, 21/07/2013 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Они его давно уже сделали и пилят дальше
    Независимость не означает же, что новые наработки нельзя перенимать из основной ветки
     

  • 1.3, Аноним (-), 00:47, 21/07/2013 [ответить] [﹢﹢﹢] [ · · · ]  
  • –4 +/
    >SELinux

    Сколько не пытался, так и не осилил. Дальше ls -Z и chcon не прошёл.

     
     
  • 2.4, Аноним (-), 01:01, 21/07/2013 [^] [^^] [^^^] [ответить]  
  • +8 +/
    Зачем о своём позоре публично писать?
     
  • 2.5, Анонище (?), 01:01, 21/07/2013 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Ты еще GRSec RBAC  не видел, так что не расстраивайся.
     
  • 2.6, Аноним (-), 01:24, 21/07/2013 [^] [^^] [^^^] [ответить]  
  • –3 +/
    Действительно, миндфак редкостный.
     
  • 2.7, John (??), 01:49, 21/07/2013 [^] [^^] [^^^] [ответить]  
  • +/
    >>SELinux
    > Сколько не пытался, так и не осилил. Дальше ls -Z и chcon
    > не прошёл.

    Давно, когда еще использовал Fedora/CentOS, хотел попробовать, но как-то не дошли руки. 5 лет назад перешел на Gentoo. Переход начался с двух машин, на одной из которых изначально был развернут Gentoo с профилем hardened/linux/amd64/selinux. Все делал по документации с сайта Gentoo - все заработало. Была пара моментов с работой Java-приложений и mplayer, но они документированы и особых проблем не вызывают.

     
  • 2.11, Anonimus (??), 03:14, 21/07/2013 [^] [^^] [^^^] [ответить]  
  • –6 +/
    "sudo setenforce 0" - это всё, что нужно знать о SELinux.
     

  • 1.8, Толстельний троллллл (?), 02:00, 21/07/2013 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    SELinux это тоже самое что и apparmor? Объясните в чём разница
     
     
  • 2.9, Аноним (-), 02:33, 21/07/2013 [^] [^^] [^^^] [ответить]  
  • +/
    Разное. Но цель одна - безопасность.
     
  • 2.19, Аноним (-), 11:02, 21/07/2013 [^] [^^] [^^^] [ответить]  
  • +/
    Разные системы, имеют маленько разное применение. Для десктопа - AppArmor лучше - проще, профилей больше, да и свой написать очень просто, достаточно в готовый заглянуть. Возможности, на мой скромный взгляд, достаточно богатые. Из проблем - поддерживается не всеми дистрибутивами.
     
     
  • 3.23, all_glory_to_the_hypnotoad (ok), 12:24, 21/07/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    AppArmor дырявое гогно, by design. Оно не нужно
     
     
  • 4.25, Аноним (-), 12:32, 21/07/2013 [^] [^^] [^^^] [ответить]  
  • +/
    > AppArmor дырявое гогно, by design. Оно не нужно

    И в чём это выражается?

     
     
  • 5.31, all_glory_to_the_hypnotoad (ok), 13:58, 21/07/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    обойти pathnames-based правила довольно просто, это защита примерно уровня 'от дурачков'. Не нужно сильно усложнять эксплоиты имея на руках конкретные полиси для apparmor.
     
     
  • 6.32, Аноним (-), 14:07, 21/07/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Не смешите меня. Список должен быть по whitelist, deny на что-то делать обычно вообще не требуется (зачем нам запрещать .ssh, если у нас в принципе нет разрешения на @{HOME}?).
     
  • 6.34, Аноним (-), 16:50, 21/07/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Я вас огорчу, попробуйте обойти pathnames-based в AppArmor и посмотрите как это работает
     

  • 1.10, Tav (ok), 02:39, 21/07/2013 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/
    А потом их наработки интегрирует Гугл и производители устройств, что сильно затруднит джейлбрейк.
     
     
  • 2.13, arisu (ok), 06:30, 21/07/2013 [^] [^^] [^^^] [ответить]  
  • +12 +/
    > А потом их наработки интегрирует Гугл и производители устройств, что сильно затруднит
    > джейлбрейк.

    а зачем тебе джейлбрэйк?

    странные люди: сначала поддерживают своими деньгами конторы, помешаные на огорожености, а потом рыдают, что джэйлбрейки сложные.

     
     
  • 3.28, Tav (ok), 13:27, 21/07/2013 [^] [^^] [^^^] [ответить]  
  • –2 +/
    В общем, вы правы. Когда-то давно покупал дешевый телефон с Андроидом, вариантов без залоченного загрузчика не было. Сейчас, говорят, с этим лучше, но у меня уже аппарат с Файрфокс ОС. В Андроиде все равно разочаровался: система свободна по сути только для производителей, на устройствах проприетарные модификации оригинальной прошивки, и даже с Цианогеном для полноценного использования приходиться ставить проприетарный гугловский Маркет
     
     
  • 4.33, anonymous (??), 16:22, 21/07/2013 [^] [^^] [^^^] [ответить]  
  • +/

    > у меня уже аппарат с Файрфокс ОС.

    И как?

    и даже с Цианогеном для полноценного использования
    > приходиться ставить проприетарный гугловский Маркет

    Только если нужны платные приложения оттуда.

     
     
  • 5.39, Tav (ok), 02:52, 22/07/2013 [^] [^^] [^^^] [ответить]  
  • +/
    > И как?

    У меня Keon. Приятно после прошлого телефона с CM7 (ничего новее на нем не работало). Приложений пока не так много, как для Андроида. Лично мне не хватает нормального клиента к OpenStreetMap.

    Границы между сайтами и приложениями размыты, любой сайт может быть добавлен в меню как приложение, а приложения делаются на основе веб-технологий. Может быть, это отучит некоторых делать специальные приложения для мобильных ОС вместо нормальной мобильной версии сайта.

    Интересная особенность интерфейса: помимо меню с установленными приложениями есть еще онлайн каталог с поиском сайтов-приложений, которые запускаются без установки (Adaptive App Search, тут показано: https://www.mozilla.org/en-US/firefox/os/).

    В системе четко выделены три слоя: ядро+HAL (Gonk), рантайм (Gecko) и оболочка (Gaia). Gaia легко переустанавливается отдельно от всего остального: несколько раз собирал версии из git, например, чтобы добавить функцию импорта контактов из vcard, которой не было в фабричной прошивке, и просто ради интереса.

     
     
  • 6.40, Tav (ok), 03:56, 22/07/2013 [^] [^^] [^^^] [ответить]  
  • +/
    > Границы между сайтами и приложениями размыты

    На самом деле, я не уверен, что это хорошо, хотя в какой-то мере это противодействует проприетарным магазинам приложений.

    Надежнее всего получать все ПО из небольшого количества доверенных источников — репозиториев, содержащих подписанные пакеты собранные из исходного кода майнтейнерами дистрибутива.

     
  • 4.35, Crazy Alex (ok), 19:06, 21/07/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    А я вот без маркета живу - на андроидфоне вообще учетка гугла не подвязана. Софт - вообще только открытый, с f-droid.org - и вполне нормально себя чувствую.
     
     
  • 5.42, Tav (ok), 04:11, 22/07/2013 [^] [^^] [^^^] [ответить]  
  • +/
    Да, f-droid — хороший вариант.
     
  • 4.38, Аноним (-), 00:54, 22/07/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Под вопросом такого рода свобода в фаерфокс ОС. Он позиционируется как еще более свободная для производителей ОС, т е еще и свои сервисы можно пихать. Где там свобода пользователя время покажет.
    ПС: юзаю андроид как и Crazy Alex без проприетарных надстроек, но цианогенмод не работает, т к дрова закрыты. Сейчас самый большой враг свободы - производители железа, имхо. Т е последние проблемы для меня их дрова (их отсутствие) и навязывание определенного софта вместе с железом.
     
     
  • 5.41, Tav (ok), 04:08, 22/07/2013 [^] [^^] [^^^] [ответить]  
  • +/
    > Под вопросом такого рода свобода в фаерфокс ОС. Он позиционируется как еще
    > более свободная для производителей ОС, т е еще и свои сервисы
    > можно пихать. Где там свобода пользователя время покажет.

    Да, у меня тоже на этот счет есть опасения.

     
  • 2.26, Аноним (-), 12:33, 21/07/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > А потом их наработки интегрирует Гугл и производители устройств, что сильно затруднит
    > джейлбрейк.

    Не совсем в теме, но там же root вроде штатно через adb можно получить?

     
  • 2.30, Аноным (ok), 13:38, 21/07/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Джейлбрейки - это вам айФон.
    А с Андроидом просто нужно нормальные аппараты брать, лучше всего Нексусы.
     
     
  • 3.36, Crazy Alex (ok), 19:09, 21/07/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    По нынешним временам - если не для понтов, то лучше всего брать китайцев. Есть несколько контор (THL тот же), которые уже наработали репутацию и делают очень пристойные (и дешевые) железки. Локи они туда в принципе не суют.
     
     
  • 4.43, ffirefox (?), 15:52, 22/07/2013 [^] [^^] [^^^] [ответить]  
  • +/
    1. Китайцы хороши тем, что просто дешевые и, в принципе, качество тоже можно найти,... НО!
    2. Cyanogenmod очень плохо поддерживает китайцев.
    3. Прошивки китайцы практически не выкладывают в исходниках, поэтому проверить их принципы очень затруднительно. А верить на слово в наше время торжества IT технологий ...
    4. Поддерживаются производителями китайские изделия ну очень не долго.
     
     
  • 5.47, Crazy Alex (ok), 18:44, 22/07/2013 [^] [^^] [^^^] [ответить]  
  • +/
    Как минимум у THL качество стабильно хорошее, насмотрелся уже на кучу его изделий.

    Насчет цианогена - там обычно проблема в том, что оно никому не нужно. В том числе, кстати, и потому что родные прошивки у них очень даже на уровне, с мощным инженерным меню и т.п. Но да, это недостаток.

    Прошивки - согласен.

    А вот поддержка - тот же THL прошивки вываливает вполне старательно, включая смену версий андроида. И, черт возьми, баги там очень даже фиксятся, всем бы "большим брендам" так.

    Тьфу, пост как реклама смотрится - но они меня сильно впечатлили.

     

  • 1.12, Daemon (??), 03:17, 21/07/2013 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/
    Уж лучше OpenBSD на смарты портируйте
     
     
  • 2.14, arisu (ok), 06:31, 21/07/2013 [^] [^^] [^^^] [ответить]  
  • +7 +/
    > Уж лучше OpenBSD на смарты портируйте

    портируй. не понимаю, кто тебе запрещает это делать.

     
  • 2.15, Нанобот (?), 08:48, 21/07/2013 [^] [^^] [^^^] [ответить]  
  • +/
    Вот сами и портируйте, раз вам нужно
     

  • 1.16, Аноним (-), 09:22, 21/07/2013 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    И зачем? Лучше бы AppArmor. С этим творением на телефоне разбираться никто не будет, а AppArmor простой и правила к нему писать легко.
     
     
  • 2.17, BratSinot (ok), 09:51, 21/07/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Правильно никто разбираться не будет, потому-что поставил и пользуйся.
     
     
  • 3.18, Аноним (-), 09:57, 21/07/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > Правильно никто разбираться не будет, потому-что поставил и пользуйся.

    Ага, а профили сами написались ;-)

     

  • 1.20, Аноним (-), 11:11, 21/07/2013 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Может мне кто-то объяснит как именно дело обстоит. Есть этот жроид, который использует виртуальную машину и байт-коды всякие. Как преимущество, в своё время, задвигали про работу на любой железке и изоляцию(ака безопасность) процессов. А теперь получается что ограничений в виртуальной машине недостаточно. Надо ещё и селинух задействовать. В этом я прав? И если да, то что будет дальше? Они портируют от бимеров виртуализатор который в майнфреймах стоит?
     
     
  • 2.37, kurokaze (ok), 23:35, 21/07/2013 [^] [^^] [^^^] [ответить]  
  • +2 +/
    >что будет дальше?

    Наступит осень и ты пойдешь в пятый класс

     
     
  • 3.46, Аноним (-), 16:42, 22/07/2013 [^] [^^] [^^^] [ответить]  
  • +/
    Проецируешь на меня свои комплексы? Расскажи какая у тебя трагедия связана с 5 классом. Виндузятники одноклассники нанесли тебе побои по тупому предмету? Или макинтошники поёмали провели процесс инициации в свою веру?
     
  • 2.44, ffirefox (?), 16:05, 22/07/2013 [^] [^^] [^^^] [ответить]  
  • +/
    Принципы любой защиты очень просты:

    1. Трудоемкость вскрытия защиты должна быть больше, чем профит от полученного результата. (Это от профессиональных взломщиков)

    2. Времени, которое потратит взломщик на преодоление защиты, должно хватать на то, чтобы засечь средствами мониторинга (которых, тоже должны быть в правильном количестве и качестве) и отреагировать (т.е. наличие резервов, воли и длинной руки). (Это от любителей ломать для души)

    3. Не верьте людям. (А особенно недобросовестному безопаснику/защитнику)


    Поэтому предела безопасности не будет. SELinux не последний рубеж т.к. у него тоже могут быть (есть) уязвимости.

     
     
  • 3.45, arisu (ok), 16:08, 22/07/2013 [^] [^^] [^^^] [ответить]  
  • +/
    > 3. Не верьте людям.

    …а особенно — себе самому. вдвойне не надо верить, если начинаешь говорить о безопасности. потому что Оно уже т~~~

     

  • 1.21, Nmae (?), 11:45, 21/07/2013 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    "...  подобных PRISM, так как код был многократно проверен и подвергнут независимому аудиту, ..."  кем проверен?
     
     
  • 2.22, arisu (ok), 12:14, 21/07/2013 [^] [^^] [^^^] [ответить]  
  • +5 +/
    > кем проверен?

    точно не тобой. и это хорошо.

     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:
    При перепечатке указание ссылки на opennet.ru обязательно



    Спонсоры:
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2021 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру