无节操非程序猿

莫催稿,催稿也不交

[翻译] Android O 中的 seccomp 过滤器

在 Android 的设备中,强制执行 Android 安全模式的重任交由内核承担。由于安全团队已努力加强 Android 的用户空间,并隔离和削弱进程的权限。因此内核已成为更多安全攻击的焦点。系统调用是攻击者攻击内核的常用方式。

所有 Android 软件都使用系统调用(简写为 syscall)与 Linux 内核通信。内核提供许多基于设备和 SOC 的系统调用,让用户空间的进程(包括应用程序)直接与内核交互。所有应用都依赖此机制,通过唯一的系统调用来检索访问对应的行为,例如打开文件或发送一条 binder 消息。但是许多系统调用没有被 Android 使用或官方支持。

Android O 利用被称为 seccomp 的 Linux 功能,使得未使用的系统调用无法被应用程序访问。由于应用无法访问这些系统调用,因此无法被潜在的有害应用程序利用。

seccomp 过滤器

Android O 包含一个已被安装到 zygote (所有 Android 应用均派生自该进程) 中的 seccomp 过滤器。由于过滤器已安装到 zygote,对所有应用程序生效,Android 安全团队采取了额外的措施,以防止破坏现有应用程序。seccomp 过滤器允许:

所有定义在 bionic (Android 的 C 运行时)内的系统调用。它们定义在 bionic/libc/SYSCALLS.TXT 内。

支持 Android 启动的系统调用。

常用的 Android 应用程序所使用的系统调用,由运行 Google 完整应用兼容性套件决定。

Android O 的 seccomp 过滤器会阻止某些系统调用(如 swapon/swapoff 已被用来进行一些安全攻击)以及关键控制系统调用(对应用无用)。此过滤器在 arm64 中共阻止了 271 个系统调用中的 17 个,在 arm 中共阻止了 364 个系统调用中的 70 个。

开发者

在运行了 Android O 的设备上测试您的应用是否使用了非法的系统调用。

检测非法的系统调用

在 Android O 中,系统将使调用非法系统调用的应用崩溃。日志打印显示非法的系统调用,例如:

03-09 16:39:32.122 15107 15107 I crash_dump32: performing dump of process 14942 (target tid = 14971)
03-09 16:39:32.127 15107 15107 F DEBUG   : *** *** *** *** *** *** *** *** *** *** *** *** *** *** *** ***
03-09 16:39:32.127 15107 15107 F DEBUG   : Build fingerprint: 'google/sailfish/sailfish:O/OPP1.170223.013/3795621:userdebug/dev-keys'
03-09 16:39:32.127 15107 15107 F DEBUG   : Revision: '0'
03-09 16:39:32.127 15107 15107 F DEBUG   : ABI: 'arm'
03-09 16:39:32.127 15107 15107 F DEBUG   : pid: 14942, tid: 14971, name: WorkHandler  >>> com.redacted <<<
03-09 16:39:32.127 15107 15107 F DEBUG   : signal 31 (SIGSYS), code 1 (SYS_SECCOMP), fault addr --------
03-09 16:39:32.127 15107 15107 F DEBUG   : Cause: seccomp prevented call to disallowed system call 55
03-09 16:39:32.127 15107 15107 F DEBUG   :     r0 00000091  r1 00000007  r2 ccd8c008  r3 00000001
03-09 16:39:32.127 15107 15107 F DEBUG   :     r4 00000000  r5 00000000  r6 00000000  r7 00000037 Affected

开发者应该重新调整他们的应用程序,不要调用非法的系统调用。

在测试时切换 seccomp 过滤器

除了记录错误,seccomp 安装程序在运行 userdebug 和 eng builds 的设备上遵从 setenforce,这将允许您测试 seccomp 是否引发了某个问题。如果您输入:

adb shell setenforce 0 && adb stop && adb start

那么不会有任何 seccomp 策略被安装到 zygote。由于您无法从一个正在运行的进程中移除 seccomp 策略,所以您必须重新启动 shell 以使该选项生效。

设备制造商

由于 Android O 在 //bionic/libc/seccomp 包含相关的 seccomp 过滤器,因此设备制造商无需进行任何额外的实现。不过,在 //cts/tests/tests/security/jni/android_security_cts_SeccompTest.cpp 中有一个检查 seccomp 的 CTS 测试。该测试检查是否已阻止 add_key 和 keyctl 系统调用、是否已允许 openat,以及是否存在某些特定于应用的系统调用在兼容的前提下是否存在。

相关源码

SYSCALLS.TXT

SECCOMP_BLACKLIST.TXT

SECCOMP_WHITELIST.TXT

原文链接

https://android-developers.googleblog.com/2017/07/seccomp-filter-in-android-o.html


  • 评论列表:

发表评论:

Powered By Z-BlogPHP 1.5.1 Zero

Copyright Rarnu 2017. All Rights Reserved.