android - 在 Android kitkat (CM 11.0) 上将 SElinux 置于宽容模式的安全隐患

Question

Cyanogenmod 11.0 现在启用了 SELinux，但您可以使用应用商店中的应用(SElinux 模式转换器)将其更改为宽容模式。这不是违背了 SELinux 的初衷吗？一个应用可以做的任何事情，另一个应用也可以恶意做，对吧？

Answer 1

即使设备已获得 root 权限，也只能在使用 defconfig 中的 CONFIG_SECURITY_SELINUX_DEVELOP=y 构建的内核中在强制模式和许可模式之间切换。对于安全的生产设备，应该禁用此功能，因为它可以大大减少故意生根或产生根权限的漏洞的负面影响。

当启用 SELinux 开发模式时，您需要以 root 身份运行 setenforce(假设 sepolicy 允许，它通常允许，但不一定):

usage:  setenforce [ Enforcing | Permissive | 1 | 0 ]

SELinux Mode Changer 需要有 root 权限的设备，这意味着它通过获取 root 权限并调用 setenforce 0 来工作。正如您所指出的，这几乎违背了 SELinux 的全部目的，这正是除非您可以接受所有风险，否则 root 不是一个好主意的原因。