Разработчики проекта CyanogenMod, в рамках которого независимым сообществом развивается альтернативная сборка платформы Android, объявили (http://www.cyanogenmod.org/blog/this-week-in-cm-july-19-13) о проведении работы по интеграции наработок SEAndroid (http://selinuxproject.org/page/SEAndroid) (Security Enhancements for Android) для добавления в развиваемую проектом прошивку средств принудительного контроля доступа SELinux (http://ru.wikipedia.org/wiki/SELinux).
SELinux разработан Агентством национальной безопасности США, входит в состав ядра Linux с 2003 года и уже достаточно давно поддерживается в таких дистрибутивах как Fedora, Red Hat Enterprise Linux, Debian, Ubuntu, openSUSE и SUSE Linux Enterprise. Тем не менее, до сих пор средства контроля доступа SELinux не использовались в платформе Android, несмотря на то, что данная технологии изначально поддерживается ядром Linux, лежащим в основе данной мобильной платформы. В рамках проекта SEAndroid c начала 2012 года развивается набор дополнений и правил SELinux, учитывающих особенности архитектуры платформы Android и, в частности, модели запуска приложений и разделения привилегий между ними.
Внедрение SELinux позволит существенно повысить изоляцию системных приложений платформы Android, которым будет предоставлен только доступ к заявленным функциям и данным. Все нештатные операции будут блокироваться, что даст возможность предотвратить несанкционированные действия в случае взлома приложения в результате атаки. При текущей дискретной модели разделения привилегий, взлом системного сервиса, работающего с правами root, открывает для злоумышленника неограниченный доступ к платформе и данным пользователя. Активация SELinux позволит блокировать атаки на системные сервисы.
SELinux для Android отличается адаптацией компонентов пользовательского уровня для работы поверх системной библиотеки Bionic вместо Glibc, интеграцией в систему инициализации Android и сервис запуска новых процессов виртуальной машины, добавлением поддержки меток SELinux для файловой системы yaffs2, набором специфичных правил для системных сервисов Android и популярных сторонних приложений, таких как Skype.
Примечательно, что компания Google также работает над интеграцией правил разделения доступа на основе SELinux в Android, но пока не активирует их в основной платформе. Официальная поддержка SELinux ожидается в выпуске Android 4.3, который по неофициальным данным будет представлен 24 июля. Работа по интеграции SELinux в CyanogenMod ведётся независимо от Google.
URL: http://www.cyanogenmod.org/blog/this-week-in-cm-july-19-13
Новость: http://www.opennet.ru/opennews/art.shtml?num=37470
openpdroid будет не нужен?
Я смотрю такими темпами они сделают свой независимый форк андроида? По теме: отличная новость
Они его давно уже сделали и пилят дальше
Независимость не означает же, что новые наработки нельзя перенимать из основной ветки
>SELinuxСколько не пытался, так и не осилил. Дальше ls -Z и chcon не прошёл.
Зачем о своём позоре публично писать?
Ты еще GRSec RBAC не видел, так что не расстраивайся.
Действительно, миндфак редкостный.
>>SELinux
> Сколько не пытался, так и не осилил. Дальше ls -Z и chcon
> не прошёл.Давно, когда еще использовал Fedora/CentOS, хотел попробовать, но как-то не дошли руки. 5 лет назад перешел на Gentoo. Переход начался с двух машин, на одной из которых изначально был развернут Gentoo с профилем hardened/linux/amd64/selinux. Все делал по документации с сайта Gentoo - все заработало. Была пара моментов с работой Java-приложений и mplayer, но они документированы и особых проблем не вызывают.
"sudo setenforce 0" - это всё, что нужно знать о SELinux.
SELinux это тоже самое что и apparmor? Объясните в чём разница
Разное. Но цель одна - безопасность.
Разные системы, имеют маленько разное применение. Для десктопа - AppArmor лучше - проще, профилей больше, да и свой написать очень просто, достаточно в готовый заглянуть. Возможности, на мой скромный взгляд, достаточно богатые. Из проблем - поддерживается не всеми дистрибутивами.
AppArmor дырявое гогно, by design. Оно не нужно
> AppArmor дырявое гогно, by design. Оно не нужноИ в чём это выражается?
обойти pathnames-based правила довольно просто, это защита примерно уровня 'от дурачков'. Не нужно сильно усложнять эксплоиты имея на руках конкретные полиси для apparmor.
Не смешите меня. Список должен быть по whitelist, deny на что-то делать обычно вообще не требуется (зачем нам запрещать .ssh, если у нас в принципе нет разрешения на @{HOME}?).
Я вас огорчу, попробуйте обойти pathnames-based в AppArmor и посмотрите как это работает
А потом их наработки интегрирует Гугл и производители устройств, что сильно затруднит джейлбрейк.
> А потом их наработки интегрирует Гугл и производители устройств, что сильно затруднит
> джейлбрейк.а зачем тебе джейлбрэйк?
странные люди: сначала поддерживают своими деньгами конторы, помешаные на огорожености, а потом рыдают, что джэйлбрейки сложные.
В общем, вы правы. Когда-то давно покупал дешевый телефон с Андроидом, вариантов без залоченного загрузчика не было. Сейчас, говорят, с этим лучше, но у меня уже аппарат с Файрфокс ОС. В Андроиде все равно разочаровался: система свободна по сути только для производителей, на устройствах проприетарные модификации оригинальной прошивки, и даже с Цианогеном для полноценного использования приходиться ставить проприетарный гугловский Маркет
> у меня уже аппарат с Файрфокс ОС.И как?
и даже с Цианогеном для полноценного использования
> приходиться ставить проприетарный гугловский МаркетТолько если нужны платные приложения оттуда.
> И как?У меня Keon. Приятно после прошлого телефона с CM7 (ничего новее на нем не работало). Приложений пока не так много, как для Андроида. Лично мне не хватает нормального клиента к OpenStreetMap.
Границы между сайтами и приложениями размыты, любой сайт может быть добавлен в меню как приложение, а приложения делаются на основе веб-технологий. Может быть, это отучит некоторых делать специальные приложения для мобильных ОС вместо нормальной мобильной версии сайта.
Интересная особенность интерфейса: помимо меню с установленными приложениями есть еще онлайн каталог с поиском сайтов-приложений, которые запускаются без установки (Adaptive App Search, тут показано: https://www.mozilla.org/en-US/firefox/os/).
В системе четко выделены три слоя: ядро+HAL (Gonk), рантайм (Gecko) и оболочка (Gaia). Gaia легко переустанавливается отдельно от всего остального: несколько раз собирал версии из git, например, чтобы добавить функцию импорта контактов из vcard, которой не было в фабричной прошивке, и просто ради интереса.
> Границы между сайтами и приложениями размытыНа самом деле, я не уверен, что это хорошо, хотя в какой-то мере это противодействует проприетарным магазинам приложений.
Надежнее всего получать все ПО из небольшого количества доверенных источников — репозиториев, содержащих подписанные пакеты собранные из исходного кода майнтейнерами дистрибутива.
А я вот без маркета живу - на андроидфоне вообще учетка гугла не подвязана. Софт - вообще только открытый, с f-droid.org - и вполне нормально себя чувствую.
Да, f-droid — хороший вариант.
Под вопросом такого рода свобода в фаерфокс ОС. Он позиционируется как еще более свободная для производителей ОС, т е еще и свои сервисы можно пихать. Где там свобода пользователя время покажет.
ПС: юзаю андроид как и Crazy Alex без проприетарных надстроек, но цианогенмод не работает, т к дрова закрыты. Сейчас самый большой враг свободы - производители железа, имхо. Т е последние проблемы для меня их дрова (их отсутствие) и навязывание определенного софта вместе с железом.
> Под вопросом такого рода свобода в фаерфокс ОС. Он позиционируется как еще
> более свободная для производителей ОС, т е еще и свои сервисы
> можно пихать. Где там свобода пользователя время покажет.Да, у меня тоже на этот счет есть опасения.
> А потом их наработки интегрирует Гугл и производители устройств, что сильно затруднит
> джейлбрейк.Не совсем в теме, но там же root вроде штатно через adb можно получить?
Джейлбрейки - это вам айФон.
А с Андроидом просто нужно нормальные аппараты брать, лучше всего Нексусы.
По нынешним временам - если не для понтов, то лучше всего брать китайцев. Есть несколько контор (THL тот же), которые уже наработали репутацию и делают очень пристойные (и дешевые) железки. Локи они туда в принципе не суют.
1. Китайцы хороши тем, что просто дешевые и, в принципе, качество тоже можно найти,... НО!
2. Cyanogenmod очень плохо поддерживает китайцев.
3. Прошивки китайцы практически не выкладывают в исходниках, поэтому проверить их принципы очень затруднительно. А верить на слово в наше время торжества IT технологий ...
4. Поддерживаются производителями китайские изделия ну очень не долго.
Как минимум у THL качество стабильно хорошее, насмотрелся уже на кучу его изделий.Насчет цианогена - там обычно проблема в том, что оно никому не нужно. В том числе, кстати, и потому что родные прошивки у них очень даже на уровне, с мощным инженерным меню и т.п. Но да, это недостаток.
Прошивки - согласен.
А вот поддержка - тот же THL прошивки вываливает вполне старательно, включая смену версий андроида. И, черт возьми, баги там очень даже фиксятся, всем бы "большим брендам" так.
Тьфу, пост как реклама смотрится - но они меня сильно впечатлили.
Уж лучше OpenBSD на смарты портируйте
> Уж лучше OpenBSD на смарты портируйтепортируй. не понимаю, кто тебе запрещает это делать.
Вот сами и портируйте, раз вам нужно
И зачем? Лучше бы AppArmor. С этим творением на телефоне разбираться никто не будет, а AppArmor простой и правила к нему писать легко.
Правильно никто разбираться не будет, потому-что поставил и пользуйся.
> Правильно никто разбираться не будет, потому-что поставил и пользуйся.Ага, а профили сами написались ;-)
Может мне кто-то объяснит как именно дело обстоит. Есть этот жроид, который использует виртуальную машину и байт-коды всякие. Как преимущество, в своё время, задвигали про работу на любой железке и изоляцию(ака безопасность) процессов. А теперь получается что ограничений в виртуальной машине недостаточно. Надо ещё и селинух задействовать. В этом я прав? И если да, то что будет дальше? Они портируют от бимеров виртуализатор который в майнфреймах стоит?
>что будет дальше?Наступит осень и ты пойдешь в пятый класс
Проецируешь на меня свои комплексы? Расскажи какая у тебя трагедия связана с 5 классом. Виндузятники одноклассники нанесли тебе побои по тупому предмету? Или макинтошники поёмали провели процесс инициации в свою веру?
Принципы любой защиты очень просты:1. Трудоемкость вскрытия защиты должна быть больше, чем профит от полученного результата. (Это от профессиональных взломщиков)
2. Времени, которое потратит взломщик на преодоление защиты, должно хватать на то, чтобы засечь средствами мониторинга (которых, тоже должны быть в правильном количестве и качестве) и отреагировать (т.е. наличие резервов, воли и длинной руки). (Это от любителей ломать для души)
3. Не верьте людям. (А особенно недобросовестному безопаснику/защитнику)
Поэтому предела безопасности не будет. SELinux не последний рубеж т.к. у него тоже могут быть (есть) уязвимости.
> 3. Не верьте людям.…а особенно — себе самому. вдвойне не надо верить, если начинаешь говорить о безопасности. потому что Оно уже т~~~
"... подобных PRISM, так как код был многократно проверен и подвергнут независимому аудиту, ..." кем проверен?
> кем проверен?точно не тобой. и это хорошо.