android5.0,6.0第三方签名APP,在SElinux下,如何获得对一个内核节点的访问权限?
2017-04-26 16:44
555 查看
在android6.0中,出于安全考虑,不允许第三方签名的app被分配mlstrustedsubject:
在external/sepolicy/untrusted_app.te文件中:
# Do not allow untrusted_app to be assigned mlstrustedsubject.
# This would undermine the per-user isolation model being
# enforced via levelFrom=user in seapp_contexts and the mls
# constraints. As there is no direct way to specify a neverallow
# on attribute assignment, this relies on the fact that fork
# permission only makes sense within a domain (hence should
# never be granted to any other domain within mlstrustedsubject)
# and untrusted_app is allowed fork permission to itself.
neverallow untrusted_app mlstrustedsubject:process fork;
所以在使用第三方签名app时,希望第三方签名app某个进程能够对内核节点进行操作,可按如下修改:
1.在device/sprd/scx20/common/sepolicy/file_contexts 文件中添加:
/dev/abc u:object_r:abc_device:s0
2.在device/sprd/scx20/common/sepolicy/device.te 文件中添加:
type abc_device, dev_type, mlstrustedobject;
3.在device/sprd/scx20/common/sepolicy/untrusted_app.te 文件中添加:
allow untrusted_app adc_device:chr_file operate;
operate为赋予的权限。
注:
mlstrustedsubject:这一attribute包含了所有能越过MLS检查的主体domain。
mlstrustedobject:这一attribute包含了所有能越过MLS检查的客体type。
在external/sepolicy/untrusted_app.te文件中:
# Do not allow untrusted_app to be assigned mlstrustedsubject.
# This would undermine the per-user isolation model being
# enforced via levelFrom=user in seapp_contexts and the mls
# constraints. As there is no direct way to specify a neverallow
# on attribute assignment, this relies on the fact that fork
# permission only makes sense within a domain (hence should
# never be granted to any other domain within mlstrustedsubject)
# and untrusted_app is allowed fork permission to itself.
neverallow untrusted_app mlstrustedsubject:process fork;
所以在使用第三方签名app时,希望第三方签名app某个进程能够对内核节点进行操作,可按如下修改:
1.在device/sprd/scx20/common/sepolicy/file_contexts 文件中添加:
/dev/abc u:object_r:abc_device:s0
2.在device/sprd/scx20/common/sepolicy/device.te 文件中添加:
type abc_device, dev_type, mlstrustedobject;
3.在device/sprd/scx20/common/sepolicy/untrusted_app.te 文件中添加:
allow untrusted_app adc_device:chr_file operate;
operate为赋予的权限。
注:
mlstrustedsubject:这一attribute包含了所有能越过MLS检查的主体domain。
mlstrustedobject:这一attribute包含了所有能越过MLS检查的客体type。
相关文章推荐
- android5.0,6.0第三方签名APP,在SElinux下,如何获得对一个内核节点的访问权限?
- Android 在 SElinux下 如何获得对一个内核节点的访问权限
- Android 在 SElinux下 如何获得对一个内核节点的访问权限
- SElinux android 在hal下 如何获得对一个内核节点的访问权限
- Android 在 SElinux下 如何获得对一个内核节点的访问权限
- Android 在 SElinux下 如何获得对一个内核节点的访问权限【转】
- Android 在 SElinux下 如何获得对一个内核节点的访问权限
- Android 在 SElinux下 如何获得对一个内核节点的访问权限【转】
- Android 在 SElinux下 如何获得对一个内核节点的访问权限
- Android 在 SElinux下 如何获得对一个内核节点的访问权限
- Android 在 SElinux下 如何获得对一个内核节点的访问权限
- Android 在 SElinux下 如何获得对一个内核节点的访问权限
- Android 在 SElinux下 如何获得对一个内核节点的访问权限
- Android 在 SElinux下 如何获得对一个内核节点的访问权限
- Android 在 SElinux下 如何获得对一个内核节点的访问权限
- Android 在 SElinux下 如何获得对一个内核节点的访问权限
- Android 在 SElinux下 如何获得对一个内核节点的访问权限
- Android 在 SElinux下 如何获得对一个内核节点的访问权限
- Android 在 SElinux下 如何获得对一个内核节点的访问权限
- Android 在 SElinux下 如何获得对一个内核节点的访问权限