Kemampuan Sekitar

Kemampuan memungkinkan proses Linux untuk menghilangkan sebagian besar hak istimewa seperti root sambil tetap mempertahankan subset hak istimewa yang diperlukan untuk menjalankan fungsinya. Implementasi asli dari kemampuan membuat proses fork+exec tidak mungkin mewarisi kemampuan kecuali file yang dieksekusi memiliki kemampuan file yang dikonfigurasi. Kemampuan file, pada gilirannya, menghadirkan risiko keamanan karena proses apa pun yang mengeksekusi file dengan kemampuan file akan mendapatkan kemampuan tersebut.

Kemampuan ambien memungkinkan layanan sistem yang diluncurkan oleh init untuk mengonfigurasi kemampuan dalam file .rc mereka, menjadikan konfigurasi menjadi satu file alih-alih membagi konfigurasi dalam file fs_config.c . Artinya, untuk layanan apa pun yang diluncurkan oleh init, Anda dapat menggunakan file .rc yang terkait dengan layanan tersebut untuk mengonfigurasi kemampuan layanan tersebut.

Kemampuan ambien adalah mekanisme pilihan untuk mengatur kemampuan layanan yang diluncurkan oleh init (metode ini menyimpan semua aspek konfigurasi layanan dalam satu file .rc ). Kami merekomendasikan penggunaan kemampuan ambien daripada mengonfigurasi kemampuan sistem file menggunakan bagian caps di file config.fs .

Saat menyetel kapabilitas untuk layanan yang tidak diluncurkan oleh init , lanjutkan mengonfigurasi kapabilitas sistem file menggunakan fs_config.c .

Mengaktifkan kemampuan sekitar

Untuk mengaktifkan kemampuan ambien untuk layanan tertentu, gunakan kata kunci capabilities di init. Untuk detail bahasa init saat ini, lihat init README.md .

Misalnya, untuk mengaktifkan kemampuan ambien untuk layanan AOSP wificond , file .rc untuk layanan wificond menyiapkan pengguna dan grup yang sesuai dan memberikan layanan kemampuan yang ditentukan menggunakan kata kunci capabilities :

service wificond /system/bin/wificond
    class main
    user wifi
    group wifi net_raw net_admin
    capabilities NET_RAW NET_ADMIN

Implementasi referensi

Implementasi referensinya adalah kernel umum Android https://android.googlesource.com/kernel/common/

Tambalan yang diperlukan

Patch yang diperlukan telah di-backport ke semua cabang kernel umum Android yang relevan.

Patch kemampuan ambien utama https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=58319057b7847667f0c9585b9de0e8932b0fdb08 telah di-backport di:

Perbaikan keamanan kecil https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=b7f76ea2ef6739ee484a165ffbac98deb855d3d3 telah di-backport di:

Validasi

Pengujian unit bionik mencakup pengujian unit untuk kemampuan sekitar. Selain itu, menggunakan kata kunci "capabilities" di Android init untuk suatu layanan, dan kemudian memeriksa apakah layanan tersebut mendapatkan kemampuan yang diharapkan akan memungkinkan pengujian runtime fitur ini.