Uznaniowa kontrola dostępu (DAC)

Obiekty i usługi systemu plików dodawane do kompilacji często wymagają oddzielnych, unikalnych identyfikatorów, znanych jako identyfikatory Androida (AID). Obecnie wiele zasobów, takich jak pliki i usługi, niepotrzebnie wykorzystuje podstawowe (zdefiniowane w systemie Android) identyfikatory AID; w wielu przypadkach można zamiast tego użyć AID OEM (zdefiniowanych przez OEM).

Wcześniejsze wersje systemu Android (Android 7.x i starsze) rozszerzyły mechanizm AID przy użyciu specyficznego dla urządzenia pliku android_filesystem_config.h w celu określenia możliwości systemu plików i/lub niestandardowych AID OEM. Jednak ten system był nieintuicyjny, ponieważ nie obsługiwał ładnych nazw dla identyfikatorów OEM AID, co wymagało podania surowej wartości liczbowej dla pól użytkownika i grupy bez możliwości powiązania przyjaznej nazwy z numerycznym identyfikatorem AID.

Nowsze wersje Androida (Android 8.0 i nowsze) obsługują nową metodę rozszerzania możliwości systemu plików. Ta nowa metoda obsługuje następujące elementy:

  • Wiele lokalizacji źródłowych plików konfiguracyjnych (umożliwia rozszerzalne konfiguracje kompilacji).
  • Sprawdzanie poprawności w czasie budowy wartości OEM AID.
  • Generowanie niestandardowego nagłówka OEM AID, którego można używać w plikach źródłowych w razie potrzeby.
  • Skojarzenie przyjaznej nazwy z rzeczywistą wartością OEM AID. Obsługuje nienumeryczne argumenty ciągu dla użytkownika i grupy, tj. „foo” zamiast „2901”.

Dodatkowe ulepszenia obejmują usunięcie tablicy android_ids[] z system/core/libcutils/include/private/android_filesystem_config.h . Ta tablica istnieje teraz w Bionic jako w pełni prywatna generowana tablica, z akcesorami poprzez getpwnam() i getgrnam() . (Ma to efekt uboczny polegający na tworzeniu stabilnych plików binarnych w miarę modyfikowania podstawowych AID.) Narzędzia i plik README zawierający więcej szczegółów można znaleźć w build/make/tools/fs_config .

Dodawanie identyfikatorów Android (AID)

System Android 8.0 usunął tablicę android_ids[] z projektu Android Open Source Project (AOSP). Wszystkie nazwy przyjazne dla AID są zamiast tego generowane z pliku nagłówkowego system/core/libcutils/include/private/android_filesystem_config.h podczas generowania tablicy Bionic android_ids[] . Dowolna define dopasowania AID_* jest pobierana przez oprzyrządowanie, a * staje się nazwą małymi literami.

Na przykład w private/android_filesystem_config.h :

#define AID_SYSTEM 1000

Staje się:

  • Przyjazna nazwa: system
  • uid: 1000
  • gid: 1000

Aby dodać nowy podstawowy AID AOSP, po prostu dodaj #define do pliku nagłówkowego android_filesystem_config.h . AID zostanie wygenerowany podczas kompilacji i udostępniony interfejsom korzystającym z argumentów użytkownika i grupy. Oprzyrządowanie potwierdza, że ​​nowy AID nie znajduje się w zakresie APP lub OEM; uwzględnia również zmiany w tych zakresach i powinien automatycznie rekonfigurować się po zmianach lub nowych zakresach zarezerwowanych przez producenta.

Konfiguracja AID

Aby włączyć nowy mechanizm AID, ustaw TARGET_FS_CONFIG_GEN w pliku BoardConfig.mk . Ta zmienna zawiera listę plików konfiguracyjnych, umożliwiającą dołączanie plików w razie potrzeby.

Standardowo pliki konfiguracyjne używają nazwy config.fs , ale w praktyce można użyć dowolnej nazwy. Pliki config.fs są w formacie ini Python ConfigParser i zawierają sekcję caps (do konfigurowania funkcji systemu plików) i sekcję AIDs (do konfigurowania identyfikatorów OEM AID).

Konfiguracja sekcji czapek

Sekcja caps obsługuje ustawianie możliwości systemu plików na obiektach systemu plików w ramach kompilacji (sam system plików również musi obsługiwać tę funkcję).

Ponieważ uruchomienie stabilnej usługi jako root w systemie Android powoduje awarię zestawu testów zgodności (CTS) , poprzednie wymagania dotyczące zachowania możliwości podczas uruchamiania procesu lub usługi obejmowały skonfigurowanie możliwości, a następnie użycie setuid / setgid do odpowiedniego AID do uruchomienia. Używając czapek, możesz pominąć te wymagania i sprawić, by jądro zrobiło to za Ciebie. Kiedy kontrola jest przekazywana do funkcji main() , twój proces ma już potrzebne możliwości, aby twoja usługa mogła używać użytkownika i grupy nie będącej rootem (jest to preferowany sposób uruchamiania uprzywilejowanych usług).

Sekcja caps używa następującej składni:

Sekcja Wartość Definicja
[path] Ścieżka systemu plików do skonfigurowania. Ścieżka kończąca się na / jest uważana za katalog, w przeciwnym razie jest to plik.

Błędem jest określenie wielu sekcji z tą samą [path] w różnych plikach. W wersjach Pythona <= 3.2, ten sam plik może zawierać sekcje, które zastępują poprzednią sekcję; w Pythonie 3.2 jest ustawiony na tryb ścisły.
mode Tryb pliku ósemkowego Prawidłowy tryb pliku ósemkowego składający się z co najmniej 3 cyfr. Jeśli określono 3, jest poprzedzone 0, w przeciwnym razie tryb jest używany bez zmian.
user AID_<użytkownik> Albo C define poprawny AID, albo przyjazną nazwę (np AID_RADIO i radio są dopuszczalne). Aby zdefiniować niestandardowy identyfikator AID, zobacz sekcję Konfigurowanie identyfikatora AID .
group AID_<grupa> Taki sam jak użytkownik.
caps czapka* Nazwa zadeklarowana w bionic/libc/kernel/uapi/linux/capability.h bez CAP_ . Dozwolony przypadek mieszany. Czapki mogą być również surowe:
  • binarny (0b0101)
  • ósemkowy (0455)
  • wewn. (42)
  • szesnastkowy (0xFF)
Oddziel wiele wersalików za pomocą spacji.

Aby zapoznać się z przykładem użycia, zobacz Korzystanie z możliwości systemu plików .

Konfiguracja sekcji AID

Sekcja AID zawiera OEM AID i używa następującej składni:

Sekcja Wartość Definicja
[AID_<name>] <name> może zawierać znaki pisane wielkimi literami, cyfry i podkreślenia. Jako przyjazna nazwa używana jest wersja pisana małymi literami. Wygenerowany plik nagłówkowy do włączenia kodu używa dokładnego AID_<name> .

Błędem jest określenie wielu sekcji z tym samym AID_<name> (nie uwzględnia wielkości liter z takimi samymi ograniczeniami jak [path] ).

<name> musi zaczynać się od nazwy partycji, aby upewnić się, że nie powoduje konfliktu z różnymi źródłami.
value <liczba> Prawidłowy ciąg liczbowy w stylu C (szesnastkowy, ósemkowy, binarny i dziesiętny).

Błędem jest określenie wielu sekcji z tą samą opcją wartości.

Opcje wartości muszą być określone w zakresie odpowiadającym partycji używanej w <name> . Lista prawidłowych partycji i odpowiadających im zakresów jest zdefiniowana w system/core/libcutils/include/private/android_filesystem_config.h . Dostępne opcje to:
  • Partycja dostawcy
    • AID_OEM_RESERVED_START(2900) - AID_OEM_RESERVED_END(2999)
    • AID_OEM_RESERVED_2_START(5000) - AID_OEM_RESERVED_2_END(5999)
  • Partycja systemowa
    • AID_SYSTEM_RESERVED_START(6000) - AID_SYSTEM_RESERVED_END(6499)
  • Partycja ODM
    • AID_ODM_RESERVED_START(6500) - AID_ODM_RESERVED_END(6999)
  • Podział produktu
    • AID_PRODUCT_RESERVED_START(7000) - AID_PRODUCT_RESERVED_END(7499)
  • System_ext Partycja
    • AID_SYSTEM_EXT_RESERVED_START(7500) - AID_SYSTEM_EXT_RESERVED_END(7999)

Aby zapoznać się z przykładami użycia, zobacz Definiowanie nazw AID OEM i Używanie AID OEM .

Przykłady użycia

Poniższe przykłady szczegółowo opisują, jak zdefiniować i używać OEM AID oraz jak włączyć funkcje systemu plików. Nazwy OEM AID ( [AID_ name ] ) muszą zaczynać się od nazwy partycji, takiej jak „ vendor_ ”, aby nie powodowały konfliktu z przyszłymi nazwami AOSP lub innymi partycjami.

Definiowanie nazw OEM AID

Aby zdefiniować OEM AID, utwórz plik config.fs i ustaw wartość AID. Na przykład w device/x/y/config.fs ustaw następujące dane:

[AID_VENDOR_FOO]
value: 2900

Po utworzeniu pliku ustaw zmienną TARGET_FS_CONFIG_GEN i wskaż ją w BoardConfig.mk . Na przykład w device/x/y/BoardConfig.mk ustaw następujące dane:

TARGET_FS_CONFIG_GEN += device/x/y/config.fs

Twój niestandardowy identyfikator AID może być teraz używany przez cały system w nowej kompilacji.

Korzystanie z pomocy OEM

Aby użyć OEM AID, w kodzie C, uwzględnij oemaids_headers w powiązanym pliku Makefile i dodaj #include "generated_oem_aid.h" , a następnie zacznij używać zadeklarowanych identyfikatorów. Na przykład w my_file.c dodaj następujące:

#include "generated_oem_aid.h"
…

If (ipc->uid == AID_VENDOR_FOO) {
  // Do something
...

W skojarzonym pliku Android.bp dodaj następujące informacje:

header_libs: ["oemaids_headers"],

Jeśli używasz pliku Android.mk , dodaj następujące elementy:

LOCAL_HEADER_LIBRARIES := oemaids_headers

Używanie przyjaznych nazw

W systemie Android 9 możesz użyć przyjaznej nazwy dla dowolnego interfejsu obsługującego nazwy AID. Na przykład:

  • W chown w some/init.rc :
    chown vendor_foo /vendor/some/vendor_foo/file
    
  • W service w some/init.rc :
    service vendor_foo /vendor/bin/foo_service
        user vendor_foo
        group vendor_foo
    

Ponieważ wewnętrzne mapowanie z przyjaznej nazwy na uid jest wykonywane przez /vendor/etc/passwd i /vendor/etc/group , partycja dostawcy musi zostać zamontowana.

Kojarzenie przyjaznych imion

Android 9 obejmuje obsługę kojarzenia przyjaznej nazwy z rzeczywistą wartością OEM AID. Możesz użyć nienumerycznych argumentów ciągu dla użytkownika i grupy, np. „ vendor_foo ” zamiast „2901”.

Konwersja z AID na przyjazne nazwy

W przypadku OEM AID , Android 8.x wymagał użycia oem_#### z getpwnam i podobnymi funkcjami, a także w miejscach obsługujących wyszukiwania przez getpwnam (takich jak skrypty init ). W Androidzie 9 możesz użyć znajomych getpwnam i getgrnam w Bionic do konwersji identyfikatorów Androida (AID) na przyjazne nazwy i odwrotnie.

Korzystanie z możliwości systemu plików

Aby włączyć możliwości systemu plików, utwórz sekcję caps w pliku config.fs . Na przykład w device/x/y/config.fs dodaj następującą sekcję:

[system/bin/foo_service]
mode: 0555
user: AID_VENDOR_FOO
group: AID_SYSTEM
caps: SYS_ADMIN | SYS_NICE

Po utworzeniu pliku ustaw TARGET_FS_CONFIG_GEN , aby wskazywał na ten plik w BoardConfig.mk . Na przykład w device/x/y/BoardConfig.mk ustaw następujące dane:

TARGET_FS_CONFIG_GEN += device/x/y/config.fs

Kiedy service vendor_ foo jest wykonywany, zaczyna się od możliwości CAP_SYS_ADMIN i CAP_SYS_NICE bez wywołań setuid i setgid . Dodatkowo, polityka SELinux usługi vendor_ foo nie wymaga już możliwości setuid i setgid i może zostać usunięta.

Konfiguracja nadpisań (Android 6.x-7.x)

Android 6.0 przeniósł fs_config i powiązane definicje struktur ( system/core/include/private/android_filesystem_config.h ) do system/core/libcutils/fs_config.c , gdzie mogą być aktualizowane lub zastępowane przez pliki binarne zainstalowane w /system/etc/fs_config_dirs i /system/etc/fs_config_files . Używanie oddzielnych reguł dopasowywania i analizowania dla katalogów i plików (które mogą używać dodatkowych wyrażeń glob) umożliwiło systemowi Android obsługę katalogów i plików w dwóch różnych tabelach. Definicje struktur w system/core/libcutils/fs_config.c nie tylko zezwalały na odczyt katalogów i plików w czasie wykonywania, ale host mógł używać tych samych plików w czasie kompilacji do konstruowania obrazów systemu plików jako ${OUT}/system/etc/fs_config_dirs i ${OUT}/system/etc/fs_config_files .

Chociaż metoda zastępowania rozszerzania systemu plików została zastąpiona przez modułowy system konfiguracji wprowadzony w Androidzie 8.0, nadal możesz użyć starej metody, jeśli chcesz. Poniższe sekcje szczegółowo opisują, jak generować i dołączać pliki przesłonięć oraz konfigurować system plików.

Generowanie plików nadpisań

Wyrównane pliki binarne /system/etc/fs_config_dirs i /system/etc/fs_config_files można wygenerować za pomocą narzędzia fs_config_generate w build/tools/fs_config . Narzędzie wykorzystuje funkcję biblioteki libcutils ( fs_config_generate() ) do zarządzania wymaganiami DAC w buforze i definiuje reguły dla pliku dołączanego w celu instytucjonalizacji reguł DAC.

Aby użyć, utwórz plik dołączany w device/ vendor / device /android_filesystem_config.h , który działa jako nadpisanie. Plik musi mieć format structure fs_path_config zdefiniowany w pliku system/core/include/private/android_filesystem_config.h z następującymi inicjalizacją struktury symboli katalogów i plików:

  • W przypadku katalogów użyj android _device _dirs[] .
  • W przypadku plików użyj android _device _files[] .

Jeśli nie używasz android_device_dirs[] i android_device_files[] , możesz zdefiniować NO_ANDROID_FILESYSTEM_CONFIG_DEVICE_DIRS i NO_ANDROID_FILESYSTEM_CONFIG_DEVICE_FILES (patrz przykład poniżej). Możesz również określić plik zastąpienia za pomocą TARGET_ANDROID_FILESYSTEM_CONFIG_H w konfiguracji płyty z wymuszoną nazwą podstawową android_filesystem_config.h .

W tym pliki zastępujące

Aby dołączyć pliki, upewnij się, że PRODUCT_PACKAGES zawiera fs_config_dirs i/lub fs_config_files , aby można je było zainstalować odpowiednio w /system/etc/fs_config_dirs i /system/etc/fs_config_files . System kompilacji wyszukuje niestandardowy plik android_filesystem_config.h w $(TARGET_DEVICE_DIR) , gdzie istnieje BoardConfig.mk . Jeśli ten plik istnieje gdzie indziej, ustaw zmienną konfiguracyjną karty TARGET_ANDROID_FILESYSTEM_CONFIG_H , aby wskazywała tę lokalizację.

Konfiguracja systemu plików

Aby skonfigurować system plików w Androidzie 6.0 i nowszych:

  1. Utwórz plik $(TARGET_DEVICE_DIR)/android_filesystem_config.h .
  2. Dodaj fs_config_dirs i/lub fs_config_files do PRODUCT_PACKAGES w pliku konfiguracyjnym tablicy (np. $(TARGET_DEVICE_DIR)/device.mk ).

Przykład zastąpienia

Ten przykład pokazuje poprawkę do nadpisywania demona system/bin/glgps w celu dodania obsługi blokady wybudzania w katalogu device/ vendor / device . Pamiętaj o następujących kwestiach:

  • Każdy wpis struktury to tryb, uid, gid, możliwości i nazwa. system/core/include/private/android_filesystem_config.h jest dołączany automatycznie w celu dostarczenia manifestu #defines ( AID_ROOT , AID_SHELL , CAP_BLOCK_SUSPEND ).
  • Sekcja android_device_files[] zawiera akcję pomijania dostępu do system/etc/fs_config_dirs , gdy nie jest określony, co służy jako dodatkowa ochrona DAC w przypadku braku zawartości dla zastąpień katalogów. Jest to jednak słaba ochrona; jeśli ktoś ma kontrolę nad /system , zazwyczaj może robić wszystko, co chce.
diff --git a/android_filesystem_config.h b/android_filesystem_config.h
new file mode 100644
index 0000000..874195f
--- /dev/null
+++ b/android_filesystem_config.h
@@ -0,0 +1,36 @@
+/*
+ * Copyright (C) 2015 The Android Open Source Project
+ *
+ * Licensed under the Apache License, Version 2.0 (the "License");
+ * you may not use this file except in compliance with the License.
+ * You may obtain a copy of the License at
+ *
+ *      http://www.apache.org/licenses/LICENSE-2.0
+ *
+ * Unless required by applicable law or agreed to in writing, software
+ * distributed under the License is distributed on an "AS IS" BASIS,
+ * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or
+ * implied. See the License for the specific language governing
+ * permissions and limitations under the License.
+ */
+
+/* This file is used to define the properties of the filesystem
+** images generated by build tools (eg: mkbootfs) and
+** by the device side of adb.
+*/
+
+#define NO_ANDROID_FILESYSTEM_CONFIG_DEVICE_DIRS
+/* static const struct fs_path_config android_device_dirs[] = { }; */
+
+/* Rules for files.
+** These rules are applied based on "first match", so they
+** should start with the most specific path and work their
+** way up to the root. Prefixes ending in * denotes wildcard
+** and will allow partial matches.
+*/
+static const struct fs_path_config android_device_files[] = {
+  { 00755, AID_ROOT, AID_SHELL, (1ULL << CAP_BLOCK_SUSPEND),
"system/bin/glgps" },
+#ifdef NO_ANDROID_FILESYSTEM_CONFIG_DEVICE_DIRS
+  { 00000, AID_ROOT, AID_ROOT, 0, "system/etc/fs_config_dirs" },
+#endif
+};


diff --git a/device.mk b/device.mk
index 0c71d21..235c1a7 100644
--- a/device.mk
+++ b/device.mk
@@ -18,7 +18,8 @@ PRODUCT_PACKAGES := \
     libwpa_client \
     hostapd \
     wpa_supplicant \
-    wpa_supplicant.conf
+    wpa_supplicant.conf \
+    fs_config_files

 ifeq ($(TARGET_PREBUILT_KERNEL),)
 ifeq ($(USE_SVELTE_KERNEL), true)

Migracja systemów plików z wcześniejszych wydań

Podczas migracji systemów plików z Androida 5.x i wcześniejszych pamiętaj, że Android 6.x

  • Usuwa niektóre dołączenia, struktury i definicje wbudowane.
  • Wymaga odwołania do libcutils zamiast uruchamiania bezpośrednio z system/core/include/private/android_filesystem_config.h . Prywatne pliki wykonywalne producenta urządzenia, które zależą od system/code/include/private_filesystem_config.h dla struktur plików lub katalogów albo fs_config muszą dodać zależności bibliotek libcutils .
  • Wymaga kopii prywatnych oddziałów producenta urządzenia system/core/include/private/android_filesystem_config.h z dodatkową zawartością istniejących obiektów docelowych w celu przeniesienia do device/ vendor / device /android_filesystem_config.h .
  • Zastrzega sobie prawo do stosowania obowiązkowych kontroli dostępu SELinux (MAC) do plików konfiguracyjnych w systemie docelowym, implementacje zawierające niestandardowe docelowe pliki wykonywalne przy użyciu fs_config() muszą zapewniać dostęp.