裴讯N1OECTurbo搭建AIO
2026/7/19 2:27:04
Linux 内核 LSM 安全模块在嵌入式中的应用：SELinux 最小权限策略的裁剪与定制方法
一、嵌入式 Linux 系统的权限管理困境：root 即上帝的时代必须终结
长期以来，嵌入式 Linux 设备普遍以 root 权限运行所有进程，原因是"嵌入式设备是单品，不需要多用户隔离"。这一假设在产品联网后彻底失效。当 IoT 设备中的 Web 管理界面存在命令注入漏洞时，攻击者立即获得 root 权限——随后可以安装后门、横向移动、窃取存储在分区中的模型权重和用户数据。
Linux Security Module（LSM）框架提供了一种在不修改核心系统调用逻辑的前提下插入安全检查点的机制。SELinux 作为 LSM 框架下功能最强的实现，通过强制访问控制（MAC）将每个进程、文件、socket 都绑定到安全上下文，由内核在每次资源访问时基于安全策略进行裁决。然而，通用 Linux 发行版的 SELinux 策略文件动辄包含数十万条规则，在嵌入式系统中引入这样的"重型"策略既不现实也不应该。本文聚焦于如何为嵌入式场景裁剪和定制 SELinux 最小权限策略。
二、LSM 框架与 SELinux 的工作机制深度拆解
LSM 框架通过在关键系统调用路径中插入"钩子函数"，在 DAC（自主访问控制）权限检查之后、实际操作执行之前，插入额外的安全判断。当进程尝试open("/config/model.bin")时，访问过程为：VFS层 → DAC权限检查（文件属主+模式位）→ LSM钩子（selinux_file_open）→ 策略决策引擎（AVC：Access Vector Cache）→ 允许 or 拒绝 → 实际打开文件。
SELinux 策略中核心的概念是类型强制（Type Enforcement）。每个进程有一个域（domain），每个文件/资源有一个类型（type）。AVC规则定义"哪个域可以对哪种类型的资源执行哪类操作"。当一条操作在 AVC 缓存中未命中时，内核会查询安全服务器中的二进制策略数据库——这是 SELinux 策略的最小化编译产物。
flowchart TD A[进程发起系统调用<br/>open /config/model.bin] --> B[DAC权限检查<br/>UID/GID/权限位] B -->|DAC通过| C[LSM钩子触发<br/>security_file_open] B -->|DAC拒绝| Z1[返回 EACCES] C --> D{AVC 查询<br/>进程域: model_mgr_t<br/>文件类型: model_data_t<br/>操作: read} D -->|缓存命中| E{策略裁决结果} D -->|缓存未命中| F[查询安全服务器<br/>二进制策略数据库] F --> G[写入AVC缓存] G --> E E -->|允许: allow model_mgr_t model_data_t:file read| H[允许访问] E -->|拒绝: 无匹配的allow规则| I[拒绝访问<br/>AVC Denial日志] H --> J[文件内容读取] I --> K{Permissive模式?} K -->|是| J K -->|否(Enforcing)| Z2[返回 EACCES<br/>AVC Denial记录到审计日志]三、嵌入式 SELinux 最小权限策略的定制实现
3.1 策略裁剪的第一步：从最小集合开始
策略编写采用"白名单"思路——先拒绝一切，再逐条放开确需的权限。嵌入式系统相比服务器最大的优势在于进程数量和交互路径都是可控且确定的，这为构建最小权限策略提供了可能。
# 策略源文件：embedded_model_service.te # 定义嵌入式推理服务的SELinux类型强制策略 policy_module(embedded_model_service, 1.0.0) # ============================================ # 类型声明：定义本模块引入的所有SELinux类型 # ============================================ # 进程域：推理服务运行的安全上下文 type model_service_t; type model_service_exec_t; # 文件类型：模型权重、配置、推理缓存 type model_data_t; type model_config_t; type sensor_data_t; # 网络端口类型 type model_service_port_t; # ============================================ # 域转换声明：model_service_exec_t → model_service_t # ============================================ # 定义从 init_t 域到 model_service_t 的手动域转换 domain_type(model_service_t) domain_entry_file(model_service_t, model_service_exec_t) # ============================================ # 核心规则：逐条列出精确的允许操作，拒绝一切未列出操作 # ============================================ # 允许推理服务读取模型权重文件（只读，写入会破坏模型完整性） allow model_service_t model_data_t:file { read open getattr }; # 允许推理服务读取配置文件 allow model_service_t model_config_t:file { read open getattr }; # 允许推理服务读取和写入传感器数据管道 allow model_service_t sensor_data_t:fifo_file { read write open }; # 允许推理服务监听其专用的TCP端口 allow model_service_t model_service_port_t:tcp_socket name_bind; # 允许推理服务创建TCP socket（仅用于对外暴露推理API） allow model_service_t self:tcp_socket { create bind listen accept }; allow model_service_t self:netlink_route_socket { create read write }; # ============================================ # 显式拒绝：以下操作明确在策略中声明禁止 # 不声明也可（因已有"白名单"原则），但声明后触发audit日志更有助于调试 # ============================================ # 推理服务绝对不能访问其他进程的文件描述符 neverallow model_service_t self:process { ptrace signal_perms }; # 推理服务绝对不能修改自身的执行文件 neverallow model_service_t model_service_exec_t:file write; # ============================================ # 文件上下文标注：将磁盘上的文件绑定到SELinux类型 # ============================================ # 以下内容编译到 file_contexts 模块中 # /opt/model/*\.bin -- gen_context(system_u:object_r:model_data_t,s0) # /opt/model/*\.cfg -- gen_context(system_u:object_r:model_config_t,s0) # /opt/model/server -- gen_context(system_u:object_r:model_service_exec_t,s0)3.2 编译与部署流程
# Makefile：SELinux策略编译与安装流程 # 在嵌入式Buildroot/Yocto构建系统中集成 POLICY_DIR := $(BR2_EXTERNAL)/selinux MODULE_NAME := embedded_model_service OUTPUT_DIR := $(TARGET_DIR)/etc/selinux/targeted # 编译SELinux策略模块 $(MODULE_NAME).pp: $(MODULE_NAME).te $(MODULE_NAME).fc $(MODULE_NAME).if # checkmodule: 将Type Enforcement源文件编译为中间mod格式 checkmodule -M -m -o $(MODULE_NAME).mod $(MODULE_NAME).te # semodule_package: 将.mod + .fc + .if打包为标准.pp策略模块 semodule_package -o $@ \ -m $(MODULE_NAME).mod \ -f $(MODULE_NAME).fc # 安装策略模块到目标文件系统 install-policy: $(MODULE_NAME).pp # 创建目标目录结构 install -d $(OUTPUT_DIR)/modules/active install -d $(OUTPUT_DIR)/policy # 复制编译后的策略模块 install -m 644 $(MODULE_NAME).pp \ $(OUTPUT_DIR)/modules/active/ # 复制上下文文件到目标系统 install -m 644 $(MODULE_NAME).fc \ $(OUTPUT_DIR)/contexts/files/file_contexts.local # 内核启动参数中追加 selinux=1 security=selinux enforcing=1 # 确保SELinux在Bootloader阶段即被激活，不留窗口期3.3 生产环境的模式管理
#!/bin/sh # selinux_mode_manager.sh：运行时SELinux模式切换脚本 # 用途：首次启动时以Permissive模式运行，收集AVC日志， # 确认无denial后切换为Enforcing。 set -e SELINUX_FS="/sys/fs/selinux" AUDIT_LOG="/var/log/audit/audit.log" LOCK_FILE="/etc/selinux/.first_boot_done" check_avc_denials() { # 查询自上次系统启动以来的AVC拒绝计数 DENIALS=$(cat "$SELINUX_FS/avc/cache_stats" 2>/dev/null \ | grep "denials" | awk '{print $NF}') if [ -z "$DENIALS" ]; then DENIALS=0 fi echo "$DENIALS" } if [ ! -f "$LOCK_FILE" ]; then echo "[SELinux] 首次启动，进入Permissive模式收集AVC日志" echo "0" > "$SELINUX_FS/enforce" # 运行所有初始化脚本和服务，给SELinux时间记录所有需要的权限 # 此阶段系统以Permissive模式运行24小时或直到审计日志稳定 echo "[SELinux] Permissive已激活。分析audit.log以补充策略。" touch "$LOCK_FILE" else # 后续启动：检查是否有新的denial DENIALS=$(check_avc_denials) if [ "$DENIALS" -eq 0 ]; then echo "[SELinux] 无AVC拒绝记录，切换为Enforcing模式" echo "1" > "$SELINUX_FS/enforce" else echo "[SELinux] 检测到 $DENIALS 条AVC拒绝，保持Permissive模式" echo "[SELinux] 需分析audit.log补充策略后手动切换为Enforcing" fi fi四、SELinux 在嵌入式中的边界条件与架构代价
内核镜像体积增量：SELinux内核空间组件（LSM钩子+AVC+安全服务器）约增加内核体积150KB。策略二进制文件（policy.29）的大小取决于规则数量——最小策略（约200条规则）约为8KB，中等策略（2000条规则）约为80KB。
启动时间延迟：内核在挂载根文件系统后需要加载和验证SELinux策略，这增加了约200~300ms的启动时间。对于启动时间预算小于3秒的系统，这10%的增量需要评估。
策略调试的人力成本：SELinux最小权限策略的调试过程是迭代式的。典型流程为：Permissive模式运行→收集AVC denial日志→audit2allow工具生成缺失的规则→集成到策略源文件→重新编译→循环。对一个中等复杂度的嵌入式系统（50100个进程），完成策略收敛需要35轮迭代。
不适用场景：(1) Flash存储小于16MB的设备——没有足够空间容纳策略文件和内核扩展；(2) 需要频繁OTA更新策略的设备——策略更新不当可能导致系统无法启动；(3) 不需要多进程隔离的单线程裸机应用。
五、总结
SELinux 最小权限策略在嵌入式 Linux 中的应用是可行的，并且在防范权限提升类攻击方面有显著价值。裁剪过程的核心方法论是"白名单+迭代收敛"：首先定义所有进程的域和所有资源的类型，然后通过 Permissive 模式收集运行时的 AVC denial，使用audit2allow补齐缺失的规则，最终在确认无 denial 后切换为 Enforcing 模式。
在 Buildroot 和 Yocto 等嵌入式构建系统中，SELinux 的支持已相当成熟。集成时需要关注策略模块的编译安装、文件上下文的正确标注（file_contexts）以及内核启动参数中enforcing=1的强制开启。对于 RAM/Flash 资源充裕的嵌入式 Linux 设备（如工业网关、边缘分析盒），引入 SELinux 最小权限策略是性价比极高的安全加固手段。