スライド 1

Size: px

Start display at page:

Download "スライド 1"

のぶあきいまいだ
5 years ago
Views:

1 Monthly Research SELinux 再入門 -Android 編 - 株式会社 FFRI Ver

2 SE for Android の概要 Android 向けの SELinux 応用プロジェクト NSA が開発 Android Open Source Project(AOSP) に一部がマージされ 4.4(KitKat) では一部のデーモンが enforcing で動作 vold, installd, netd, zygote が enforcing 今後他の system daemon も enfocing がデフォルトになっていく予定 2

3 SE for Android の脅威モデル root 権限を持ったサービスに対する攻撃例 1:CVE (Mempodipper) /proc/pid/mem に書き込めてしまい攻撃者が権限昇格できてしまう SELinux が有効であれば権限昇格しても SELinux ポリシーで許可されたことしかできなくなるアプリのアクセス権設定の不備を突いた情報漏洩例 2:Lockout Mobile 不適切な umask でファイルを作成できてしまうため他のアプリから読み取られ情報漏洩してしまう可能性がある SELinux が有効であれば新規作成したファイルに適切なラベルが割り当てられるため他のアプリから読めない 3

4 SE for Android の歴史 SE for Android リリース NSA と Samsung の KNOX 開発に NSA が協力を開始 SELinux が組み込まれた Galaxy S4 が販売 Android 4.3 に SELinux が標準機能として組み込まれる ( ただし permissive モード ) Android 4.4 の SELinux において一部のアプリが標準で enforcing モードで動作するように 4

5 用語の整理 (Terminology) SE Android NSA が開発している Android 向けの SELinux 拡張機能及びリソース AOSP SEAndroid の機能及びリソースのうち Android の mainline にマージされたもののこと Security Enhancements(SE) for Android 上記をひとまとめにした Android 向けの SELinux という意味 KNOX 2012 年 3 月から NSA の協力の元 Samsung が開発している Android のセキュリティ強化版 5

6 Security Enhancements for Android カーネル空間への追加コンポーネント xattrを使えるようにyaffs2を拡張 Binder(AndroidのIPC 機構 ) へのフックを追加 Androidミドルウェアへの追加機能 (Middleware MAC) Install-time MAC Enterprise Ops Intent Firewall ユーザーランドの整備 Bionic Libcの拡張 SELinuxライブラリやツールの移植 MAC : Mandatory access control( 強制アクセス制御 ) 6

など native layer にアクセス制御機構を追加 Applications Middleware MAC In-Kernel MAC (existing

7 Middleware MAC の必要性 SELinux は本来カーネルを経由するイベントデータしかチェックすることができない Zygote のようなユーザーランドの実行単位管理とは合わない SE for Android では Zygote, Runtime(Dalvik など ), installd など native layer にアクセス制御機構を追加 Applications Middleware MAC In-Kernel MAC (existing LSM) Application Framework Native Layer Linux Kernel Android Runtime User space Kernel space 7

8 Install-time MAC PackageManagerServiceが強制アクセス制御をおこなうアプリ証明書とseinfoという識別子をマッピングする external/sepolicy/mac_permissions.xml ホワイトリスト / ブラックリストを用いてアプリの実行管理が可能 installd が PackageManagerService のマッピング結果を用い seapp_context ポリシーを使ってプロセスをラベル付けするアプリの起動時 zygote はこのラベルを使ってドメイン遷移する 8

9 9 seapp_contexts sepolicy/seapp_contexts: issystemserver=true domain=system_server user=system domain=system_app type=system_app_data_file user=bluetooth domain=bluetooth type=bluetooth_data_file user=nfc domain=nfc type=nfc_data_file user=radio domain=radio type=radio_data_file プリインストールされたアプリなどをseinfoの user=shared_relro domain=shared_relro 値で識別 3 user=shell domain=shell type=shell_data_file rd -partyとは違うドメインとする user=_isolated domain=isolated_app user=_app seinfo=platform domain=platform_app type=app_data_file user=_app domain=untrusted_app type=app_data_file 3 rd -party アプリは基本 untrusted_app

10 Enterprise Ops & Intent Firewall( 開発中 ) Enterprise Ops(eops) 端末開発ベンダーが特定のアプリに特定のパーミッションを与えないような設定が可能 4.3 以前の permission revocation mechanism を置き換える Intent Firewall Intent を要求元アプリや要求先アプリに基づいて制限する仕組み 4.3 以前の Intent MAC を置き換える <?xml version="1.0"?> <app-ops> <debug/> <seinfo name="system"> <op name="camera"/> </seinfo> </app-ops> 例 1:system ラベルが割り当てられているアプリのカメラ起動を禁止する eops ポリシー <?xml version="1.0"?> <rules> <service log="true" block="true"> <not><sender type="system"/></not> <intent-filter /> <component-filter name="com.se4android.isolatedservice/.demoisolatedservice"/> </service> </rules> 例 2:DemoIsolatedService からシステムアプリ以外を呼び出せなくする intent firewall ポリシー 10

11 まとめ SE for Android はアプリプラットフォームのセキュリティを向上させ同時に特別なセキュリティ要求があるカスタマーの需要を満たすセキュリティ拡張が実現できる Android 端末開発者は AOSP に取り込まれた機能取り込まれる予定の SE for Android 機能を把握しておく必要がある例えば特別なデバイスを使うプリインストールアプリに対し適切にポリシーを設定しておかないと動作しなくなる可能性がある今後は 3rd-party アプリに対しても enforcing モードが適用されるためアプリ開発者も意識する必要がある 11

12 参考文献 Security Enhancements (SE) for Android Security Enhanced (SE) Android: Bringing Flexible MAC to Android, 20th Annual Network and Distributed System Security Symposium (NDSS '13), Feb Security Enhancements (SE) for Android, Android Builders Summit 2014, Apr df The Flask Security Architecture: System Support for Diverse Security Policieshttp:// NB SEforAndroid 1 NB SEforAndroid 2 Iintent firewall(unofficial documentation) 12

13 Contact Information research feedback@ffri.jp Twitter 13

TOMOYO Linux

TOMOYO Linux タスク構造体の拡張によるセキュリティ強化 Linux [ 当日説明用資料 ] 平成 16 年 6 月 3 日株式会社 NTT データ技術開発本部オープンシステムアーキテクチャグループ原田季栄 haradats@nttdata.co.jp Linux セキュリティ上の課題所有者による自由裁量のアクセス制御粗い分類と制御の粒度システム管理者に対しては効力を持たないシステム管理者権限を奪われると歯止め無し