lsm的含义:剖析LSM的前世今生(超详细~)

本文主要介绍了Linux Security Module (LSM)的基本原理,应用场景及编程实例。第一部分以Linux Kernel文档为基础,介绍了LSM的定义、诞生与发展,并简述了LSM的实现原理;第二部分以鼎鼎大名SELinux为例,介绍了LSM的具体实现。

本文主要基于Linux Kernel官方文档和源码撰写,如果有疏漏,欢迎指正。

一、 LSM是个啥

1. LSM的定义

TheLinux Security Module (LSM) framework provides a mechanism for various securitychecks to be hooked by new kernel extensions. The name “module” is a bit of a misnomer since theseextensions are not actually loadable kernel modules. Instead, they areselectable at build-time via CONFIG_DEFAULT_SECURITY and can be overridden atboot-time via the “security=…” kernel command line argument, in thecase where multiple LSMs were built into a given kernel.

从Linux Kernel官网页面中的介绍中可以大概总结出几个关键点:

l LSM框架基于hook机制实现内核功能扩展

l 虽然名字里带Module,但LSM并不是传统意义上的内核模块

l Kernel中可以同时编译进多个不同的LSM

l LSM并不是运行时加载,而是编译时引入,在boot阶段通过命令行加载

2. LSM的诞生与发展

在2001年的Linux Kernel峰会上,NSA代表建议在Linux Kernel 2.5中加入Security-Enhanced Linux(SELinux)。然而,这一提议遭到了Linus Torvalds的拒绝。一方面,SELinux并不是惟一用于增强 Linux 安全性的安全子系统;另一方面,并不是所有的开发人员都认为SELinux是最佳解决方案。最终SELinux没能加入到Linux Kernel 2.5,取而代之的是Linux Security Module的开发被提上日程。

LSM子系统自提出后开发了近3年,并终于在Linux Kernel 2.6正式加入到内核中,随之应运而生了大量LSM,比如Ubuntu、OpenSUSE、SUSE、Debian等发行版中默认的AppArmor,以及RHEL、Fedora、CentOS等发行版中默认的SELinux。

3. LSM的软件架构及实现原理

从图1中可以看出LSM在Linux安全体系中所处的位置,LSMhook被插入到访问kernel对象与DAC 检查之见,然后LSM调用系统中启用的访问控制模块,检查是否可以访问。若有多个访问控制模块,会根据初始化的优先顺序执行,都允许访问才能进一步访问 kernel 对象。使用LSM Hook框架进行内核安全审计和元数据捕获。安全开发人员只需要按照既定的调用规范编写LSM模块,并加载进Linux内核,而不需要对系统调用表进行任何修改。

剖析LSM的前世今生(超详细~)

图1 LSM软件逻辑

LSM的设计思想是在最少改变内核代码的情况下,提供一个能够成功实现强制访问控制模块需要的结构或者接口。其中,LSM对内核代码的改动如下:l在特定的内核数据结构中加入安全域l在内核源代码中不同的关键点插入对安全钩子函数的调用l加入一个通用的安全系统调用l提供了函数允许内核模块注册为安全模块或者注销l将capabilities逻辑的大部分移植为一个可选的安全模块LSM机制之所以简单实用,是因为它的设计者几乎罗列了任何可能出现安全问题的地方,然后在这些地方安插钩子,并且这些钩子的实现定义为回调函数,具体的安全引擎只需要自己实现这些钩子函数即可。

二、 LSM有啥用

1. 大名鼎鼎的SELinux

作为最知名的LSM之一,哪怕是刚开始接触Linux内核安全的新人,也一定或多或少听说过SELinux的大名。如果你没听说过,可以去翻翻往期内核工匠的文章,在《SELinux介绍》一文中,Tenny大佬对SELinux的基础框架和基本原理都做了介绍,同时对SELinux Policy做了介绍,本节将不再赘述。

2. 从LSM视角看待SELinux具体实现

上一节最后讲到了LSM对内核的改动,下面就以SELinux为例,详细讲解一下LSM在内核中的具体实现。(1)在inode结构体中加入安全域如图2所示,在inode数据结构中加入安全域字段,i_security字段指向一段安全域,该区域内顺序存放着各个安全模块自己的数据,每个安全模块会记录自己在安全域内的offset。内核通过在文件inode对象中间接引用的i_security对象(void*),实现各种各样的安全模块。

剖析LSM的前世今生(超详细~)

图2 在inode数据结构中加入安全域字段

(2)添加hook函数调用

在内核代码中埋入的每个安全hook函数都会设立自己的hlist,以便于不同的安全引擎能同时工作(如SELinux与AppArmor共存)。每一个hook点都可以用security_hook_list结构体来描述,同时每个hook点包含一个函数声明和自己hlist的头部,如图3所示:

剖析LSM的前世今生(超详细~)

图3 hook_list数据结构

在头文件”lsm_hook_defs.h”中,罗列出了各种hook点的名称,SELinux通过复用LSM_HOOK宏对hook函数进行初始化,如图4所示:

剖析LSM的前世今生(超详细~)

图4 hook函数初始化

selinux_hooks就是SELinux模块实现的hook点结构体数组,通过上面提到的LSM_HOOK_INIT宏对struct security_hook_list结构中的成员head进行初始化,并将SELinux实现的函数
selinux_binder_set_context_mgr赋给对应函数指针。然而,这个宏仅仅初始化了两个成员,并未将实现的函数插入到hook点下hlist中。Linux提供security_add_hooks函数执行插入哈希链表操作,内核代码中埋入的hook点在被调用时,会遍历自己的hlist,依次调用之前注册的安全函数。如图5所示:

剖析LSM的前世今生(超详细~)

图5 security_add_hooks函数

(3)LSM数据结构

如图6所示,在Linux内核中,通过使用lsm_info结构体对各个安全模块进行描述。在头文件vmlinux.lds.h中,定义了lsm info数据区域,用于存放 lsm_info结构体,并使用DEFINE_LSM宏对其进行初始化。

剖析LSM的前世今生(超详细~)

图6 LSM数据结构

如图7所示是SELinux中的lsm_info结构体定义,包含模块名称及init函数。

剖析LSM的前世今生(超详细~)

图7 SELinux模块的lsm_info结构体

(4)LSM初始化

如上一节在LSM定义中所提到的,LSM并不是运行时加载,而是编译时引入,在boot阶段通过命令行加载。在start_kernel(系统启动执行完架构相关代码后,通用代码的入口)后,开始调用early_lsm_init命令和security_init命令。

early_lsm_init命令在Kernel 5.4引入,目的是对在setup_arch()中启动的代码配置安全策略,以实现在引导早期加载LSM策略的安全机制。通过配置
CONFIG_SECURITY_LOCKDOWN_LSM_EARLY宏,可以在security_init命令之前启动,目前lockdown是为数不多使用这种配置的模块之一。

剖析LSM的前世今生(超详细~)

图8 early_lsm_init函数

如图8所示,early_lsm阶段通过调用early_lsm_init函数完成初始化,在头文件vmlinux.lds.h中定义了__start_early_lsm_inf,由DEFINE_EARLY_LSM(lsm)宏调用初始化函数,如图9所示:

剖析LSM的前世今生(超详细~)

图9 lockdown模块初始化

如图10所示是early_lsm阶段的两个核心函数prepare_lsm和initialize_lsm。

剖析LSM的前世今生(超详细~)

图10 prepare_lsm函数与initialize_lsm函数

prepare_lsm函数通过调用lsm_allowed函数进行判断,如果有模块的flag中加入了LSM_FLAG_EXCLUSIVE,则注册成独占模块,其他声明了LSM_FLAG_EXCLUSIVE的模块就不会被启用。常见Linux系统中lockdown,yama,loadpin,safesetid,integrity以及capbility均为非独占模块,在内核中可以同时加载;而selinux,apparmor以及smack均是独占模块,不能同时加载。initialize_lsm函数实际上就是调用安全模块自己注册的init函数。

讲完early_lsm阶段,接下来说一下security_init阶段。

剖析LSM的前世今生(超详细~)

图11 security_init函数

如图11所示,security_init阶段通过调用security_init函数完成初始化。其中,lsm_names保存内核启动的lsm模块名,本身是一个字符型指针,赋值时需要通过alloc函数申请内存,而early_security_init阶段无法完成这个操作,因此在security_init中,会对模块是否属于early_security_init阶段进行判断。

剖析LSM的前世今生(超详细~)

图12 ordered_lsm_init函数

如图12所示是security_init阶段的核心函数ordered_lsm_init函数。下面看一下其具体实现。

ordered_lsms是一个结构体指针数组,用于保存在静态数据区中定义的lsm_info结构体。

chosen_lsm_order和chosen_major_lsm均保存cmdline传入的lsm相关参数,分别对应cmdline的”lsm=”参数和”security=”参数,”lsm=”表示指定多个安全模块的加载顺序,”security=”是指定一个补充加载的安全模块。

builtin_lsm_order等同于CONFIG_LSM,即在kernel配置时选择的安全模块加载顺序字符串。

ordered_lsm_parse函数的作用是将.lsm_info.init中无序的静态数据(lsm_info) 地址按照CONFIG中的逗号隔开的顺序放到ordered_lsms指针数组中。

(1)配置LSM的security_blob_size在lsm_info结构体中,使用lsm_blob_sizes结构体来存放LSM的Security blob size 或者offset数据。blob size指的是LSM框架下实现的安全域数据大小。其结构体声明如图13所示:

剖析LSM的前世今生(超详细~)

图13 lsm_blob_sizes结构体

在lsm初始化阶段,Linux Kernel提供了lsm_set_blob_sizes函数用于配置模块的blob_size,一般模块在静态定义lsm_info时会定义blob_size,如图14是SELinux的blob_size定义:

剖析LSM的前世今生(超详细~)

需要注意的是,全局变量blob_sizes是各个使能的模块的blob size的累加值,并会将累加的offset重新赋值给模块的blobs对应字段。

三、总结

在LSM诞生之前,Linux Kernel安全加固的方案多种多样,随着LSM加入内核,从前的安全性内核补丁如今破坏了内核的完整性,使用LSM框架中的标准预置回调函数进行hook是当前最优雅的解决方案。而Kernel 5.4中加入的lockdown模块(前文提到的early_lsm阶段加载的模块)直接禁止了运行时对内核进行动态修改,使得LSM成为Linux安全模块开发的唯一途径。

本文链接:https://www.dzdvip.com/34942.html 版权声明:本文内容均来源于互联网。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容, 请发送邮件至 395045033@qq.com,一经查实,本站将立刻删除。
(0)
打赏 微信扫一扫 微信扫一扫 支付宝扫一扫 支付宝扫一扫
上一篇 2022年7月15日 19:24
下一篇 2022年7月15日 23:11

相关推荐

发表评论

您的电子邮箱地址不会被公开。