Linux下SELinux的原理、架构及代码解析

SELinux全称为安全增强式 Security-Enhanced Linux（SELinux），是一个在内核中实践的强制存取控制（MAC）安全性机制。

SELinux 首先在 CentOS 4 出现，并在其后的 CentOS 发行版本获得重大改善。这些改善代表用 SELinux 解决问题的方法亦随著时间而改变。

SELinux的原理与架构

SELinux的整体架构和原理都比较简单，使用也不复杂。其复杂的地方在于规则非常复杂，每个进程都要有规则策略。

SELinux有2个核心组件及一些配套的工具。

1. 内核逻辑
2. 策略数据库。

• 策略数据库本身并非软件逻辑，而是一个静态的数据库，为内核逻辑提供判断的依据。
• SELinux 更能遵从最小权限的理念。在开启SELinux的情况下（enforcing模式），所有访问默认是被拒绝的，而有一系列例外的策略来允许系统的元素（服务、进程、用户）具备访问资源的权限。

整体架构与访问流程

SELinux的整个架构如图1所示，最左侧的为访问者，也就是服务，进程或者用户等内容。最右侧的是被访问者，也就是具体的资源，比如文件、目录或者套接字等。

当访问者访问被访问者（资源）时，需要调用内核的接口。以读取某个目录的文件为例，需要读取read接口。此时会经过SELinux内核的判断逻辑，该判断逻辑根据策略数据库的内容确定访问者是否有权访问被访问者，如果权利允许则放行，否则则拒绝并记录审计日志。

SELinux的管理与模式

可以通过/etc/selinux/config文件中的配置项实现对SELinux的管理，包括启动、停止和修改策略类型等。

# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#     enforcing - SELinux security policy is enforced.
#     permissive - SELinux prints warnings instead of enforcing.
#     disabled - No SELinux policy is loaded.
SELINUX=disabled
# SELINUXTYPE= can take one of three values:
#     targeted - Targeted processes are protected,
#     minimum - Modification of targeted policy. Only selected processes are protected.
#     mls - Multi Level Security protection.
SELINUXTYPE=targeted

如上所示，这里有2个配置项，也就是SELINUX和SELINUXTYPE。其中SELINUX表示SELinux的启用状态，可以有3种模式。

• Enforcing： 此选项会在系统上启用并实施 SELinux 的安全性政策，拒绝存取及记录审计日志
• Permissive：在 Permissive 模式下，SELinux 会被启用但不会实施安全性政策，而只会发出警告及记录审计日志
• Disabled： 该选项表示SELinux 处于非工作状态

SELinux的类型

从上述配置文件还可以看出SELinux有2中类型，分别是targeted和mls。

SELinux控制的内容很多，包括文件、套集字和信号量等等。当然，我们不可能介绍到所有的内容，今天我们主要看一下文件相关的内容。

Linux内核提供了一个安全模块框架层，这个公共框架类似于文件系统中的VFS。它为调用者提供统一的接口。之所以要提供统一接口是因为Linux内核不仅仅支持SELinux安全特性，还支持Apparmor等很多安全特性。

以打开文件为例，当我们调用内核中打开文件的接口是，在其内部会调用security_file_open函数。该函数就是Linux内核安全框架（LSM）的公共接口。然后该函数通过函数指针的方式调用所有注册到LSM的安全模块。以SELinux为例，最终会调用到selinux_file_open函数。

然后selinux_file_open函数会调用avc公共函数实现权限鉴定和审计日志的记录等内容。这里关键函数是avc_has_perm。可以看出该函数又调用了另外两个函数，其中avc_has_perm_noaudit函数实现权限的判断，而avc_audit函数则实现审计功能。

函数avc_audit实现审计功能，但并非每个操作都需要记录审计日志。在写策略文件的时候可以关闭某个策略的审计。也就是说，在关闭该策略的审计的情况下，即使访问拒绝也不会记录审计日志。

在函数avc_audit中，avc_audit_required函数用于判断是否需要记录审计日志，而slow_avc_audit函数则是进行审计日志的封装和记录工作。