[置顶] Android的IPC访问控制设计与实现
3.3.1 IPC钩子函数设计与实现
IPC Binder是Android最重要的进程间通信机制，因此，必须在此实施强制访问控制。
1. 修改secuirty.h
打开终端shell，输入指令“cd /android4.0/kernel/goldfish/include/linux/vim security.h”，找到结构security_operations，加入函数指针变量，如下所示：
/*
* This is the main security structure.
*/
struct security_operations {
charname[SECURITY_NAME_MAX + 1];
#ifdef HAVE_SMACK
/*
* to add a binder hook
* */
int(*binder_transaction) (struct task_struct *from, struct task_struct *to);
#endif
随后在security_operations定义结尾后，加入函数声明，如下：
#ifdef HAVE_SMACK
int security_binder_transaction(structtask_struct *from, struct task_struct *to);
#endif
在LSM钩子函数实现处加入security_binder_transaction的定义，如下：
#ifdef HAVE_SMACK
static inline intsecurity_binder_transaction(struct task_struct *from, struct task_struct *to) {
return 0;
}
#endif
2. 修改security.c
打开终端shell，输入指令“cd /android4.0/kernel/goldfish/security/vim security.c”，加入函数，如下所示：
#ifdefHAVE_SMACK
intsecurity_binder_transaction(struct task_struct *from, struct task_struct *to) {
returnsecurity_ops->binder_transaction(from, to);
}
#endif
3. 修改smack_lsm.c
打开终端shell，输入指令“cd /android4.0/kernel/goldfish/security/smack/vim smack_lsm.c”，加入函数“smack_binder_transaction”，如下所示：
#ifdefHAVE_SMACK
/*
* smack_binder_transaction - to check bindertransaction between two tasks
* */
static intsmack_binder_transaction(struct task_struct *from, struct task_struct *to) {
int rc1, rc2;
/*
* ask the two task must have writepermission to each other
* */
rc1 = smk_access(task_security(from),task_security(to), MAY_WRITE);
rc2 = smk_access(task_security(to),task_security(from), MAY_WRITE);
return rc1 == 0 && rc2 == 0 ? 0:1;
}
#endif
此钩子函数用来判断源进程from和目标进程to之间有没有互相写权限。最后在结构体security_operations smack_ops新增成员变量如下：
structsecurity_operations smack_ops = {
.name = "smack",
#ifdefHAVE_SMACK
.binder_transaction = smack_binder_transaction,
#endif
4. 重新编译模拟器内核
编译Android内核方法已经在第二章有所阐述，这里不再叙述。
3.3.2
每个进程分为用户空间和内核空间两部分，不同进程的用户空间是无法共享的，进程内核空间通过Android Binder来实现IPC。Binder驱动代码位于“/android4.0/kernel/goldfish/driver/staging/android/bind.c”文件中，其中binder_transaction函数使用binder_transaction_data结构体的数据来执行Binder寻址、复制Binder IPC数据、生成及检索Binder节点等操作。打开终端shell，输入指令“cd /host/android4.0/kernel/goldfish/drivers/staging/android/vim binder.c”，找到该函数的定义，如下
static voidbinder_transaction(struct binder_proc *proc, struct binder_thread *thread, struct binder_transaction_data *tr, int reply);
在源进程和目标进程确定后，加入代码，如下：
if(security_binder_transaction(proc->tsk,target_proc->tsk)) {
return_error = BR_FAILED_REPLY;
goto err_invalid_target_handle;
}
其中，target_proc->tsk指向目标进程的task_struct，proc->tsk指向源进程的task_struct，加入security_task_movememory用来判断当前进程对源进程有没有写权限，security_binder_transaction用来判断源进程对目标进程有没有写权限，这两个函数均为LSM钩子函数，由于内核已经装载了smack模块，因此它们是指向了smack内核的smack_task_movememory和smack_binder_transaction。加入上述代码的目的是为了防止进程不经授权滥用IPC Binder进行通信，正如下图所示：
如上图所示，服务客户端通过Binder调用Service Server的foo函数，服务客户端将Binder IPC数据通过BinderDriver传递给Service Server，Binder Driver是源进程和目标进程通信的媒介，IPC检查机制就是在Binder Driver中检查源进程和目标进程之间有没有互相“写”的权限。在进程的安全标签不是“_”的前提下，使用Smack可以实现对进程的控制。例如上层应用如果要想实现发短信的功能，与上层应用所对应的Linux进程是在BinderDriver中与radio进程进行互相通信，如果smack规则否定了上层应用对radio“写”权限，那么上层应用不能实现发短信的功能。再如，上层应用要想实现访问通讯录的目的，上层应用也是在Binder Driver中与通讯录进程进行通信，如果smack规则容许上层应用对通讯录进程有“写”的权限，那么上层应用才可以访问通讯录。恶意软件可能绕过Android框架层的权限检查机制，但它们绕不过内核的IPC检查。
