অ্যান্ড্রয়েড ১৬ QPR2 কার্নেল ড্রাইভারগুলিকে শক্ত করার জন্য একটি SELinux ম্যাক্রো যোগ করে। এই ম্যাক্রো উৎপাদনে সীমাবদ্ধ IOCTL গুলিকে ব্লক করে, যেমন অবচিত IOCTL গুলি বা কার্নেল ড্রাইভার ডেভেলপমেন্টের জন্য। এটি শেল বা ডিবাগযোগ্য অ্যাপগুলিতে ড্রাইভার প্রোফাইলিংয়ের জন্য IOCTL গুলিকেও সীমাবদ্ধ করে। আপনার ডিভাইসের নিরাপত্তা বাড়াতে এই ম্যাক্রো ব্যবহার করুন।
বাস্তবায়ন
সূক্ষ্ম সিস্টেম কল ফিল্টারিং ব্যবহার করে আপনার ডিভাইসটিকে শক্ত করতে, আপনার ডিভাইসের SEPolicy-তে set_xperm_filter ম্যাক্রোতে কল করুন, উদাহরণস্বরূপ:
# set_xperm_filter(target_context, allowed_target, unpriv_ioctls, restricted_ioctls, instrumentation_ioctls)
# Allow targets to harden their IOCTL interfaces by specifying
# unprivileged, blocked, and instrumentation-specific IOCTLs for appdomain.
#
# Parameters:
# target_context: The target context to apply the filter to.
# allowed_target: Additional `appdomain` target to exempt from hardened policy.
# Allows for an allowlist of services, or gating by a target SDK.
# unpriv_ioctls: IOCTLs to allow across appdomain.
# restricted_ioctls: IOCTLs to deny across appdomain.
# instrumentation_ioctls: IOCTLs intended to be used in development.
# IOCTLs will be allowed from `shell` or `debuggable` applications.
define(`unpriv_gpu_ioctls', `0x0000, 0x0001, 0x0002')
define(`restricted_ioctls', `0x1110, 0x1111, 0x1112')
define(`instrumentation_gpu_ioctls', `0x2220, 0x2221, 0x2222')
set_xperm_filter(
gpu_device,
untrusted_app_sdk_gate,
unpriv_ioctls,
restricted_ioctls,
instrumentation_ioctls)
set_xperm_filter এর ম্যাক্রো সংজ্ঞা system/sepolicy/public/te_macros এ রয়েছে।
ম্যাক্রো unpriv_ioctls অনুমতি দেয়, restricted_ioctls ব্লক করে এবং instrumentation_ioctls shell প্রক্রিয়া বা debuggable অ্যাপগুলিতে সীমাবদ্ধ করে। ফিল্টারটি এমন অ্যাপ্লিকেশনগুলিতে প্রযোজ্য যা একটি নির্দিষ্ট target_sdk থেকে শুরু হয়।
এই বৈশিষ্ট্যটি মালি জিপিইউ (পিক্সেল ৬-৯) ব্যবহার করে পিক্সেল ডিভাইসগুলিতে প্রয়োগ করা হয়েছে। আর্ম তাদের r54p2 রিলিজের প্রথম Documentation/ioctl-categories.rst এ তাদের IOCTL-এর অফিসিয়াল শ্রেণীবিভাগ প্রদান করেছে। ভবিষ্যতের ড্রাইভার রিলিজে এই তালিকা বজায় রাখা হবে।
পরীক্ষা
কার্নেল ড্রাইভারের আচরণ যাচাই করতে নিম্নলিখিতগুলি করুন:
ড্রাইভার বৈধ অ্যাপ্লিকেশন IOCTL গুলিকে ব্লক করে না কিনা তা পরীক্ষা করুন এবং,
অবিশ্বস্ত অ্যাপ্লিকেশনগুলি ইন্সট্রুমেন্টেশন এবং সীমাবদ্ধ IOCTL গুলি কার্যকর করতে পারে না তা যাচাই করুন।