剖析LSM的前世今生（超详细）

　　本文主要介绍了Linux Security Module (LSM)的基本原理，应用场景及编程实例。第一部分以Linux Kernel文档为基础，介绍了LSM的定义、诞生与发展，并简述了LSM的实现原理；第二部分以鼎鼎大名SELinux为例，介绍了LSM的具体实现。
　　本文主要基于Linux Kernel官方文档和源码撰写，如果有疏漏，欢迎指正。 一、 LSM是个啥1. LSM的定义
　　TheLinux Security Module (LSM) framework provides a mechanism for various securitychecks to be hooked by new kernel extensions. The name ＂module＂ is a bit of a misnomer since theseextensions are not actually loadable kernel modules. Instead, they areselectable at build-time via CONFIG_DEFAULT_SECURITY and can be overridden atboot-time via the ＂security=...＂ kernel command line argument, in thecase where multiple LSMs were built into a given kernel.
　　从Linux Kernel官网页面中的介绍中可以大概总结出几个关键点：
　　l LSM框架基于hook机制实现内核功能扩展
　　l 虽然名字里带Module，但LSM并不是传统意义上的内核模块
　　l Kernel中可以同时编译进多个不同的LSM
　　l LSM并不是运行时加载，而是编译时引入，在boot阶段通过命令行加载 2. LSM的诞生与发展
　　在2001年的Linux Kernel峰会上，NSA代表建议在Linux Kernel 2.5中加入Security-Enhanced Linux(SELinux)。然而，这一提议遭到了Linus Torvalds的拒绝。一方面，SELinux并不是惟一用于增强 Linux 安全性的安全子系统；另一方面，并不是所有的开发人员都认为SELinux是最佳解决方案。最终SELinux没能加入到Linux Kernel 2.5，取而代之的是Linux Security Module的开发被提上日程。
　　LSM子系统自提出后开发了近3年，并终于在Linux Kernel 2.6正式加入到内核中，随之应运而生了大量LSM，比如Ubuntu、OpenSUSE、SUSE、Debian等发行版中默认的AppArmor，以及RHEL、Fedora、CentOS等发行版中默认的SELinux。 3. LSM的软件架构及实现原理
　　从图1中可以看出LSM在Linux安全体系中所处的位置，LSMhook被插入到访问kernel对象与DAC 检查之见，然后LSM调用系统中启用的访问控制模块，检查是否可以访问。若有多个访问控制模块，会根据初始化的优先顺序执行，都允许访问才能进一步访问 kernel 对象。使用LSM Hook框架进行内核安全审计和元数据捕获。安全开发人员只需要按照既定的调用规范编写LSM模块，并加载进Linux内核，而不需要对系统调用表进行任何修改。
　　图1 LSM软件逻辑
　　LSM的设计思想是在最少改变内核代码的情况下，提供一个能够成功实现强制访问控制模块需要的结构或者接口。其中，LSM对内核代码的改动如下：l在特定的内核数据结构中加入安全域l在内核源代码中不同的关键点插入对安全钩子函数的调用l加入一个通用的安全系统调用l提供了函数允许内核模块注册为安全模块或者注销l将capabilities逻辑的大部分移植为一个可选的安全模块LSM机制之所以简单实用，是因为它的设计者几乎罗列了任何可能出现安全问题的地方，然后在这些地方安插钩子，并且这些钩子的实现定义为回调函数，具体的安全引擎只需要自己实现这些钩子函数即可。
　　更多linux内核视频教程文档资料免费领取后台私信【内核】自行获取.
　　Linux内核源码/内存调优/文件系统/进程管理/设备驱动/网络协议栈-学习视频教程-腾讯课堂
　　二、 LSM有啥用1. 大名鼎鼎的SELinux
　　作为最知名的LSM之一，哪怕是刚开始接触Linux内核安全的新人，也一定或多或少听说过SELinux的大名。如果你没听说过，可以去翻翻往期内核工匠的文章，在《SELinux介绍》一文中，Tenny大佬对SELinux的基础框架和基本原理都做了介绍，同时对SELinux Policy做了介绍，本节将不再赘述。 2. 从LSM视角看待SELinux具体实现
　　上一节最后讲到了LSM对内核的改动，下面就以SELinux为例，详细讲解一下LSM在内核中的具体实现。（1）在inode结构体中加入安全域如图2所示，在inode数据结构中加入安全域字段，i_security字段指向一段安全域，该区域内顺序存放着各个安全模块自己的数据，每个安全模块会记录自己在安全域内的offset。内核通过在文件inode对象中间接引用的i_security对象（void*），实现各种各样的安全模块。
　　图2 在inode数据结构中加入安全域字段
　　（2）添加hook函数调用
　　在内核代码中埋入的每个安全hook函数都会设立自己的hlist，以便于不同的安全引擎能同时工作（如SELinux与AppArmor共存）。每一个hook点都可以用security_hook_list结构体来描述，同时每个hook点包含一个函数声明和自己hlist的头部，如图3所示：
　　图3 hook_list数据结构
　　在头文件＂lsm_hook_defs.h＂中，罗列出了各种hook点的名称，SELinux通过复用LSM_HOOK宏对hook函数进行初始化，如图4所示：
　　图4 hook函数初始化
　　selinux_hooks就是SELinux模块实现的hook点结构体数组，通过上面提到的LSM_HOOK_INIT宏对struct security_hook_list结构中的成员head进行初始化，并将SELinux实现的函数selinux_binder_set_context_mgr赋给对应函数指针。然而，这个宏仅仅初始化了两个成员，并未将实现的函数插入到hook点下hlist中。Linux提供security_add_hooks函数执行插入哈希链表操作，内核代码中埋入的hook点在被调用时，会遍历自己的hlist，依次调用之前注册的安全函数。如图5所示：
　　图5 security_add_hooks函数
　　（3）LSM数据结构
　　如图6所示，在Linux内核中，通过使用lsm_info结构体对各个安全模块进行描述。在头文件vmlinux.lds.h中，定义了lsm info数据区域，用于存放 lsm_info结构体，并使用DEFINE_LSM宏对其进行初始化。
　　图6 LSM数据结构
　　如图7所示是SELinux中的lsm_info结构体定义，包含模块名称及init函数。
　　图7 SELinux模块的lsm_info结构体
　　（4）LSM初始化
　　如上一节在LSM定义中所提到的，LSM并不是运行时加载，而是编译时引入，在boot阶段通过命令行加载。在start_kernel（系统启动执行完架构相关代码后，通用代码的入口）后，开始调用early_lsm_init命令和security_init命令。
　　early_lsm_init命令在Kernel 5.4引入，目的是对在setup_arch()中启动的代码配置安全策略，以实现在引导早期加载LSM策略的安全机制。通过配置CONFIG_SECURITY_LOCKDOWN_LSM_EARLY宏，可以在security_init命令之前启动，目前lockdown是为数不多使用这种配置的模块之一。
　　图8 early_lsm_init函数
　　如图8所示，early_lsm阶段通过调用early_lsm_init函数完成初始化，在头文件vmlinux.lds.h中定义了__start_early_lsm_inf，由DEFINE_EARLY_LSM(lsm)宏调用初始化函数，如图9所示：
　　图9 lockdown模块初始化
　　如图10所示是early_lsm阶段的两个核心函数prepare_lsm和initialize_lsm。
　　图10 prepare_lsm函数与initialize_lsm函数
　　prepare_lsm函数通过调用lsm_allowed函数进行判断，如果有模块的flag中加入了LSM_FLAG_EXCLUSIVE，则注册成独占模块，其他声明了LSM_FLAG_EXCLUSIVE的模块就不会被启用。常见Linux系统中lockdown，yama，loadpin，safesetid，integrity以及capbility均为非独占模块，在内核中可以同时加载；而selinux，apparmor以及smack均是独占模块，不能同时加载。initialize_lsm函数实际上就是调用安全模块自己注册的init函数。
　　讲完early_lsm阶段，接下来说一下security_init阶段。
　　图11 security_init函数
　　如图11所示，security_init阶段通过调用security_init函数完成初始化。其中，lsm_names保存内核启动的lsm模块名，本身是一个字符型指针，赋值时需要通过alloc函数申请内存，而early_security_init阶段无法完成这个操作，因此在security_init中，会对模块是否属于early_security_init阶段进行判断。
　　图12 ordered_lsm_init函数
　　如图12所示是security_init阶段的核心函数ordered_lsm_init函数。下面看一下其具体实现。
　　ordered_lsms是一个结构体指针数组，用于保存在静态数据区中定义的lsm_info结构体。
　　chosen_lsm_order和chosen_major_lsm均保存cmdline传入的lsm相关参数，分别对应cmdline的＂lsm=＂参数和＂security=＂参数，＂lsm=＂表示指定多个安全模块的加载顺序，＂security=＂是指定一个补充加载的安全模块。
　　builtin_lsm_order等同于CONFIG_LSM，即在kernel配置时选择的安全模块加载顺序字符串。
　　ordered_lsm_parse函数的作用是将.lsm_info.init中无序的静态数据(lsm_info) 地址按照CONFIG中的逗号隔开的顺序放到ordered_lsms指针数组中。
　　（1）配置LSM的security_blob_size在lsm_info结构体中，使用lsm_blob_sizes结构体来存放LSM的Security blob size 或者offset数据。blob size指的是LSM框架下实现的安全域数据大小。其结构体声明如图13所示：
　　图13 lsm_blob_sizes结构体
　　在lsm初始化阶段，Linux Kernel提供了lsm_set_blob_sizes函数用于配置模块的blob_size，一般模块在静态定义lsm_info时会定义blob_size，如图14是SELinux的blob_size定义：
　　需要注意的是，全局变量blob_sizes是各个使能的模块的blob size的累加值，并会将累加的offset重新赋值给模块的blobs对应字段。 三、总结
　　在LSM诞生之前，Linux Kernel安全加固的方案多种多样，随着LSM加入内核，从前的安全性内核补丁如今破坏了内核的完整性，使用LSM框架中的标准预置回调函数进行hook是当前最优雅的解决方案。而Kernel 5.4中加入的lockdown模块（前文提到的early_lsm阶段加载的模块）直接禁止了运行时对内核进行动态修改，使得LSM成为Linux安全模块开发的唯一途径。