The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

Представлен проект по интеграции SELinux в Android

14.01.2012 20:21

Сотрудники агентства национальной безопасности США, ответственные за разработку системы принудительного контроля доступа SELinux, представили проект SE Android, в рамках которого ведётся работа по интеграции SELinux в операционную систему Android. Разработка носит экспериментальный характер, но уже может быть использована для защиты ОС от распространённых эксплойтов и утечек данных в приложениях.

SE Android расширяет стандартную модель безопасности Android, основанную на дискретном контроле доступа и полномочиях приложений, добавляя в неё возможность принудительного контроля доступа, который происходит не только при обращении приложений к данным, но и, например, во время обмена данными с помощью IPC binder. Основная идея проекта состоит в том, чтобы устранить возможные риски, связанные с работой системных демонов, исполняемых с правами root, но, как показала история, имеющих множество уязвимостей и недоработок.

Для интеграции SELinux в Android был подготовлен порт libselinux для библиотеки Bionic, из которого были удалены все зависимости от Glibc. Также в систему был интегрирован минимальный набор SELinux-утилит и внесены изменения в систему инициализации init, которая теперь понимает такие команды как setcon, restorecon и опцию seclabel. Системный сервис Zygote, используемый для порождения новых процессов виртуальной машины был модифицирован таким образом, чтобы запускать приложения в указанном контексте безопасности SELinux, а installd - для установки нужных SELinux-меток на каталоги приложений. В ядро была добавлена поддержка SELinux и механизм автоматической установки SELinux-меток на новые inode, создаваемые в файловой системе yaffs2. Чтобы иметь возможность изменения меток в библиотеку Bionic добавлена поддержка системных вызовов для работы с расширенными атрибутами ФС.

Специально для SE Android разработчики написали набор SELinux-правил, которые ограничивают системные демоны и устанавливаемые приложения непривилегированным доменом, в котором запрещены какие-либо нестандартные операции, такие, например, как запуск несистемных бинарных файлов, создание сокетов, перемонтирование системного раздела и т.д. Благодаря этому система оказалась устойчива к таким эксплойтам как GingerBreak, Exploid, RageAgainstTheCage, Zimperlich, KillingTheNameOf, psneuter и смогла предотвратить утечку данных в некоторых популярных приложениях, таких как Skype, Bank of America, Lookout Mobile Security и других.

В настоящее время проект находится в стадии разработки, поэтому для загрузки доступны только версии операционной системы для эмулятора и смартфона Google Nexus S. В будущем разработчики планируют добавить в систему новые возможности, не связанные с SELinux и выпустить версии для других устройств. Исходный код доступен в репозитории SELinux.



  1. Главная ссылка к новости (http://selinuxnews.org/wp/inde...)
  2. OpenNews: WhisperCore - Android-прошивка с защитой от вредоносных приложений
  3. OpenNews: Представлен вариант платформы Android для контроля за поведением сторонних приложений
  4. OpenNews: Исследование показало, что мобильные приложения для Android и iOS разглашают частную информацию
Автор новости: Evgeny Zobnin
Тип: К сведению
Ключевые слова: android, selinux, security
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение (38) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (-), 21:47, 14/01/2012 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/
    а может лучше не надо а? чую после этого рутануть тело станет еще сложнее.. а потом ведь и до винфона с сертификатами недалеко.
     
     
  • 2.4, arisu (ok), 22:25, 14/01/2012 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > рутануть тело станет еще сложнее

    а не бери аппараты, где вендоры запрещают перепрошивку. голосуй кошельком.

     
     
  • 3.20, Frank (ok), 13:35, 15/01/2012 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Вобще-то, перепрошивка (которая делается штатным способом - размещением архива с прошивкой на карточке) и рутирование (которое делается эксплойтом) - совершенно перпендикулярные вещи. Как переустановка оси и повішение полномочий через su (собственно, именно последнее и позволяет рутирование).

    Более того, смешно будет, если для установки SE Android будет требоваться рут, т.е. предварительно нужно будет провести успешную єксплойт-атаку :)

     
  • 3.30, Аноним (-), 18:23, 15/01/2012 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Голосование кошельком работает только тогда, когда ты хотя бы в ощутимом меньшинстве, а не в незначительном. И тем более не работает, когда некуда бежать с подводной лодки.
     
     
  • 4.34, arisu (ok), 19:12, 15/01/2012 [^] [^^] [^^^] [ответить]  
  • +1 +/
    голосование кошельком работает всегда: как минимум ты не покупаешь себе геморрой за свои же деньги. заодно можно попробовать рассказать знакомым, за что именно они платят: может, ещё кто-то проголосует. расскажет другим. и так далее.

    если ничего не делать, а только ныть — то ничего и не изменится. а если делать, то есть шанс, что снежок однажды преобразуется в лавину. не обязательно, но хотя бы возможно, в отличие от варианта «я всё равно ничего не смогу изменить, поэтому ничего делать не буду.»

     
     
  • 5.40, Одмин (?), 21:40, 15/01/2012 [^] [^^] [^^^] [ответить]  
  • +/
    иногда бывает нечего покупать что развносильно ещё большему геморрою.
     
  • 2.10, Аноним (-), 02:04, 15/01/2012 [^] [^^] [^^^] [ответить]  
  • +/
    > а может лучше не надо а? чую после этого рутануть тело станет еще сложнее..

    Надо туда сразу ставить винду, для которой на следующий день после выхода будет уже 100500 кряков (с таким-то уровнем безопасности, ее не ломает только ленивый). И будет вам рут... ой, то есть administrator.

     
     
  • 3.13, Аноним (-), 07:49, 15/01/2012 [^] [^^] [^^^] [ответить]  
  • –3 +/
    Почему телефоны сразу выпускают не с виндой, а с какими-то поделками?
     
     
  • 4.16, Аноним (-), 11:11, 15/01/2012 [^] [^^] [^^^] [ответить]  
  • +4 +/
    Потому, что по сравнению с имеющимся поделкой является как раз Винда.
     

  • 1.2, Dan (??), 22:03, 14/01/2012 [ответить] [﹢﹢﹢] [ · · · ]  
  • –4 +/
    Звучит интересно, но может пускай сначала сам SELinux допилят? Ато в текущем состоянии когда он блочит браузеры и ssh он мягко скажем не торт.
     
     
  • 2.5, mirr0r (ok), 22:27, 14/01/2012 [^] [^^] [^^^] [ответить]  
  • +/
    А настроить не судьба? :)
     
     
  • 3.6, arisu (ok), 22:28, 14/01/2012 [^] [^^] [^^^] [ответить]  
  • –2 +/
    > А настроить не судьба? :)

    он, видимо, попробовал один раз, теперь боится.

     
     
  • 4.8, mirr0r (ok), 22:48, 14/01/2012 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > он, видимо, попробовал один раз, теперь боится.

    Жить вааще страшно! :)

     
  • 3.11, mma (?), 07:19, 15/01/2012 [^] [^^] [^^^] [ответить]  
  • +2 +/
    издеваетесь чтоли? на адндройде(мобильном/портативном девайсе) еще и правила selinux самому руками точить? Наверно медицина шагнула так далеко что некоторые люди теперь живут по 1000 лет и у них много времени на всякие ненужные вещи.
     
     
  • 4.26, Аноним (-), 15:57, 15/01/2012 [^] [^^] [^^^] [ответить]  
  • +/
    руками негодится полюбому. если кто видел оутпост под вин. там автоматом настраивается по правилам. тут надо реализовать нечто подобное
     
     
  • 5.41, sdog (ok), 01:30, 16/01/2012 [^] [^^] [^^^] [ответить]  
  • +/
    была такая штука - BrickWall
     
  • 2.7, Аноним (-), 22:37, 14/01/2012 [^] [^^] [^^^] [ответить]  
  • +/
    пусть ставят как раз может будет повод допилить.
     
  • 2.9, Аноним (-), 23:31, 14/01/2012 [^] [^^] [^^^] [ответить]  
  • +/
    > Ато в текущем состоянии когда он блочит браузеры и ssh он мягко скажем не торт.

    Ставьте винду, логиньтесь под амдином, отключайте UAC и наслаждайтесь тортом: никто никого не блочит.
    А в юниксе ваш торт вам не светит, ибо безопасность и все такое.

     
     
  • 3.14, Аноним (-), 07:50, 15/01/2012 [^] [^^] [^^^] [ответить]  
  • +/
    Все так делают и никто не умер.
     
     
  • 4.15, Аноним (-), 09:27, 15/01/2012 [^] [^^] [^^^] [ответить]  
  • +2 +/
    >Все так делают и никто не умер.

    Я так не делаю - значит не все.

     
     
  • 5.27, Hety (??), 16:27, 15/01/2012 [^] [^^] [^^^] [ответить]  
  • –2 +/
    UAC настолько неюзабелен, что отключить его - просто обязанность любого, кто винду таки юзает. Для работы она не используется, важной инфы на ней нет. Переустановить - дело получтора часов. Раз в месяц можно.
     
     
  • 6.33, Аноним (-), 18:48, 15/01/2012 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Чем он неюзабелен-то? Вопросов меньше задает чем та же убунта например, только там еще и пароль вводить.
     

  • 1.3, arisu (ok), 22:24, 14/01/2012 [ответить] [﹢﹢﹢] [ · · · ]  
  • –6 +/
    молодцы.
     
  • 1.17, Аноним (-), 12:36, 15/01/2012 [ответить] [﹢﹢﹢] [ · · · ]  
  • +8 +/
    Как вы полагаете, уважаемые коллеги, каковы шансы большого прихода Андроида на РС?
     
     
  • 2.18, Аноним (-), 12:47, 15/01/2012 [^] [^^] [^^^] [ответить]  
  • +12 +/
    на десктопы-то? есть уже такое http://www.android-x86.org/
    пока игрушка
     
     
  • 3.28, saNdro (?), 17:09, 15/01/2012 [^] [^^] [^^^] [ответить]  
  • +/
    Возможно имелось ввиду с selinux =)
     
  • 3.32, Аноним (-), 18:47, 15/01/2012 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Ну как игрушка, все же есть и х86-планшеты например
     
  • 2.31, arisu (ok), 18:31, 15/01/2012 [^] [^^] [^^^] [ответить]  
  • –2 +/
    > Как вы полагаете, уважаемые коллеги, каковы шансы большого прихода Андроида на РС?

    а зачем оно тут надо?

     
     
  • 3.35, Аноним (-), 19:17, 15/01/2012 [^] [^^] [^^^] [ответить]  
  • +4 +/
    >а зачем оно тут надо?

    Будет хоть один нормальный, радующий глаз интерфейс для простых хомячков. А то всё Аэро, Аэро...

     
     
  • 4.36, arisu (ok), 19:22, 15/01/2012 [^] [^^] [^^^] [ответить]  
  • +/
    > Будет хоть один нормальный, радующий глаз интерфейс для простых хомячков.

    э… мобильно-планшетные морды на PC? по-моему, это сложно назвать «радующий глаз». в принципе, мы уже имеем как минимум два таких: gnome3 и местами unity.

     
  • 3.37, Аноним (-), 19:24, 15/01/2012 [^] [^^] [^^^] [ответить]  
  • +/
    PS В руках сэндвич пока не крутил, строго по видеообзорам.
     

  • 1.19, AlexYeCu (ok), 13:30, 15/01/2012 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Вот интересно. Зачем?
     
  • 1.21, Аноним (-), 14:01, 15/01/2012 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Воскресная шутка?
     
  • 1.22, Аноним (-), 14:04, 15/01/2012 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    >> Сотрудники агентства национальной безопасности США.

    Неспроста тут воду мутит АНБ... Контроль над iOS и WP7 у них уже наверняка есть. Теперь решили прибрать и андроид....

     
     
  • 2.29, saNdro (?), 17:10, 15/01/2012 [^] [^^] [^^^] [ответить]  
  • +/
    > Неспроста тут воду мутит АНБ... Контроль над iOS и WP7 у них
    > уже наверняка есть. Теперь решили прибрать и андроид....

    Это первое что приходит в голову учитывая задачи NSA и как они их выполнили когда заказывали разработку DES.

     
  • 2.42, Crazy Alex (ok), 03:11, 16/01/2012 [^] [^^] [^^^] [ответить]  
  • +/
    О, пораноики подоспели... Вообще-то американские военные уже сейчас пользуются андроидфонами, так что интерес к повышению безопасности андроида закономерен. Но, конечно, придумывать злобные заговоры - оно так интересно, что не устоять никак.
     

  • 1.43, Аноним (-), 12:18, 16/01/2012 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    А дать пользователю ограничивать права программ установкой галочек? Нафиг всяким игрушкам знать мое местоположение, выходить в интернет и т д? Просто гуглю это выгодно, а значит так будет. И selinux в основную ветку они могут не принять
     
     
  • 2.44, Crazy Alex (ok), 13:18, 16/01/2012 [^] [^^] [^^^] [ответить]  
  • +/
    АНБ, думаю, особо и не ждет принятия в основную ветку. Но на такие случаи есть цианоген, который и так в большинстве случаев лучше родной прошивки
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Спонсоры:
    Слёрм
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2020 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру