Répertoires, règles et sepolicy

Restez organisé à l'aide des collections Enregistrez et classez les contenus selon vos préférences.

Cette page décrit la mise en page des répertoires pour les appareils équipés d'Android 8.0 ou version ultérieure, les règles VNDK et la stratégie de sécurité associée.

Mise en page de l'annuaire

La mise en page de répertoire dégénérée se compose des répertoires suivants:

• /system/lib[64] contient toutes les bibliothèques partagées du framework, y compris LL-NDK, VNDK et les bibliothèques réservées au framework (y compris LL-NDK-Private et certaines bibliothèques portant le même nom que celles de VNDK-SP).
• /system/lib[64]/vndk-sp contient des bibliothèques VNDK-SP pour les HAL du même processus.
• /vendor/lib[64] contient les bibliothèques VNDK étendues par le fournisseur (bibliothèques VNDK DXUA ou DXUX), les implémentations HAL du même processus et d'autres bibliothèques partagées du fournisseur.
• /vendor/lib[64]/vndk-sp peut contenir les bibliothèques VNDK-SP étendues par le fournisseur.

Les modules du fournisseur chargent les bibliothèques VNDK à partir de /system/lib[64].

Règles VNDK

Cette section fournit une liste complète des règles VNDK:

• Les processus de framework ne doivent pas charger de bibliothèques partagées autres que SP-HAL à partir de partitions de fournisseurs (strictement appliqué à partir d'Android 8.1).
• Les processus du fournisseur ne doivent pas charger de bibliothèques non LL-NDK, non VNDK-SP et non VNDK à partir de la partition système. (non appliqué strictement dans Android O, mais le sera dans une prochaine version).
• Les bibliothèques VNDK installées doivent être un sous-ensemble des bibliothèques VNDK éligibles définies par Google.
• Les dépendances externes de SP-HAL et SP-HAL-Dep doivent être limitées aux bibliothèques LL-NDK ou VNDK-SP définies par Google.
  • Les dépendances d'une bibliothèque partagée SP-HAL doivent être limitées aux bibliothèques LL-NDK, aux bibliothèques VNDK-SP définies par Google, aux autres bibliothèques SP-HAL et/ou aux autres bibliothèques partagées du fournisseur pouvant être libellées comme bibliothèques SP-HAL-Dep.
  • Une bibliothèque partagée du fournisseur ne peut être désignée comme une bibliothèque SP-HAL-Dep que si elle n'est pas une bibliothèque AOSP et que ses dépendances sont limitées aux bibliothèques LL-NDK, aux bibliothèques VNDK-SP définies par Google, aux bibliothèques SP-HAL et/ou à d'autres bibliothèques SP-HAL-Dep.
• Le VNDK-SP doit être autonome. libRS_internal.so bénéficie d'un traitement spécial dans Android 8.0, mais sera réexaminé dans une prochaine version.
• Aucune communication entre le framework et le fournisseur via des interfaces autres que HIDL, y compris (mais sans s'y limiter) les liaisons, les sockets, les mémoires partagées, les fichiers, etc.
• La taille de la partition système doit être suffisamment importante pour contenir deux copies de toutes les bibliothèques VNDK éligibles et une copie des bibliothèques partagées de framework non éligibles.

sepolicy

Les processus de framework décrits dans cette section correspondent à coredomain dans sepolicies, tandis que les processus du fournisseur correspondent à non-coredomain. Par exemple, /dev/binder n'est accessible que dans coredomain et /dev/vndbinder n'est accessible que dans un autre contexte que coredomain.

Des règles similaires limitent l'accès aux bibliothèques partagées sur les partitions système et du fournisseur. Le tableau suivant présente les droits d'accès aux bibliothèques partagées de différentes catégories:

LL-NDK-Private et VNDK-SP-Private doivent être accessibles à partir des deux domaines, car les éléments autres que coredomain y accéderont indirectement. De même, SP-HAL-Dep doit être accessible à partir de coredomain, car SP-HAL s'y appuie.

libellé same_process_hal_file

Les bibliothèques suivantes existent dans la partition du fournisseur. Rendez ces bibliothèques accessibles à la fois depuis coredomain et non coredomain.

• VNDK-SP-Ext dans /vendor/lib[64]/vndk-sp
• SP-HAL dans /vendor/lib[64] ou /vendor/lib[64]/hw
• SP-HAL-Dep dans /vendor/lib[64] ou /vendor/lib[64]/hw

Attribuez explicitement le libellé same_process_hal_file à ces fichiers, car tout élément de la partition vendor n'est pas accessible par défaut à coredomain. Ajoutez des lignes semblables à celles-ci au fichier file_contexts spécifique au fournisseur.

/vendor/lib(64)?/hw/libMySpHal\.so        u:object_r:same_process_hal_file:s0
/vendor/lib(64)?/vndk-sp/libBase\.so      u:object_r:same_process_hal_file:s0
/vendor/lib(64)?/libBaseInternal\.so      u:object_r:same_process_hal_file:s0