AG351.SELINUX

SElinux 是一個(gè)強(qiáng)制訪問(wèn)控制系統(tǒng),它為每個(gè)進(jìn)程與文件都打上一個(gè)安全上下文標(biāo)簽,而 selinux 通過(guò)這個(gè)標(biāo)

簽對(duì)系統(tǒng)訪問(wèn)控制進(jìn)行管理。

2.針對(duì)車載產(chǎn)品對(duì)于啟動(dòng)安全、平臺(tái)運(yùn)行安全、通信安全三個(gè)主要領(lǐng)域有著

特 殊 很 高 的 要 求 , 為 此 Quectel 結(jié) 合 了 Qualcomm 給 出 的 secureboot 、QSEE/TrustZone安全機(jī)制以及Linux系統(tǒng)的DM-verity、SELinux和openSSL等組合方式，實(shí)現(xiàn)從啟動(dòng)到客戶進(jìn)程安全穩(wěn)定運(yùn)行，防止出現(xiàn)盜竊取、篡改客戶信息和文件等重要信息。

實(shí)時(shí)更新各層安全漏洞

通信安全基于iptabel(針對(duì)客戶特定的應(yīng)用場(chǎng)景實(shí)現(xiàn)各種復(fù)雜安全路由策略)，Openssl(定時(shí)完善安全漏洞、協(xié)助客戶開發(fā))，實(shí)現(xiàn)安全可靠的網(wǎng)絡(luò)通信。

平臺(tái)安全基于QSEE/TZ，SELinux等機(jī)制，實(shí)現(xiàn)linux系統(tǒng)資源文件保護(hù)，程序安裝和執(zhí)行，網(wǎng)路安全。QUECTEL 提供動(dòng)態(tài)靈活的分區(qū)和文件系統(tǒng)機(jī)制,從而增加文件的存儲(chǔ)安全以及FLASH 壽命QSEE/TZ TrustZone 提供一個(gè)可信程序執(zhí)行環(huán)境(TEE)(包括內(nèi)存安全、外設(shè)訪問(wèn)安全等),保證你的代碼運(yùn)行時(shí)不能被別人窺探到。

固件保護(hù)：跟文件系統(tǒng)只讀、備份還原機(jī)制、可定制化分區(qū)；

啟動(dòng)安全基于QC-Secboot(內(nèi)核安全啟動(dòng)/鏡像簽名)，DM-Verity(文件系統(tǒng)安全校驗(yàn)，實(shí)現(xiàn)啟動(dòng)文件驗(yàn)證標(biāo)簽、文件系統(tǒng)安全)，硬件調(diào)試接口關(guān)閉，本地通信接口關(guān)閉等(關(guān)閉jtag、fastboot、adb、串口、usb口)。(啟動(dòng)流程校驗(yàn)、優(yōu)化、規(guī)范化)

A7平臺(tái)安全機(jī)制

A7安全啟動(dòng)

1.安全引導(dǎo)系統(tǒng)在啟動(dòng)過(guò)程的每個(gè)階段添加加密檢查。設(shè)備執(zhí)行的軟件鏡像必須經(jīng)過(guò)安全校驗(yàn)。這種額外的檢測(cè)能夠防止非法串改的軟件在設(shè)備上運(yùn)行。

安全引導(dǎo)，通過(guò)hardware fuses識(shí)別被標(biāo)記的啟動(dòng)鏡像；

簽名工具，

2.每個(gè)階段啟動(dòng)一個(gè)鏡像，被之前一個(gè)鏡像檢測(cè)；

ROMCODE是最先信任啟動(dòng)的；

每個(gè)階段授權(quán)下一個(gè)階段：ROMCODE->bootloader->ARM TrustZone->每個(gè)鏡像通過(guò)其功能，建立設(shè)備安全性；

3.使能安全啟動(dòng)ROMCODE 和bootloader

(1) 將默認(rèn)的key改變成用戶使用的key，在目錄SOURCE_DIR/sbu/keys/使用命令：$ openssl genrsa –aes256 -out key.pem 2048

(2)?When prompted about the pass-phase for RSA key, put pass-phase inpassphrase.txtinthe same directory.

(3)Get user public key HASH and HASH ZERO bits count by the command tool:

$ python3

SOURCE_DIR/sbu/src/secure_boot_utils/sbu_main/primary_key_hash_creat

or.py SOURCE_DIR/sbu/keys/rsakey.pem ../keys/passphase.txt L

SHA256_TRUNC

(4)Write public key HASH and zero bit count into OTP.

使能安全啟動(dòng)需要以下相關(guān)配置：

Secure boot configurations

0xB[7:0]Number of bit 0 in User Public Key HASH

0x10 – 0x13[31:0]User Public Key HASH

ROMCODEBootloader in signed formatCsrvisor、kernel

load and verifiesBootloader loads andverifies TrustEnvironment withSHA256 digest.

SHA and RSASHA and RSA | RSA

4.引導(dǎo)加載簽名格式

RSA 密匙證書和鏡像簽名；

證書簽名格式為：SHA256；

M3安全啟動(dòng)

1.對(duì)啟動(dòng)鏡像進(jìn)行安全校驗(yàn)。

安全性

一、安全特征

1.平臺(tái)安全

啟動(dòng)校驗(yàn)：A7、M3、Kalimba Audio(音頻處理器)

生命周期狀態(tài)：通過(guò)控制對(duì)設(shè)備的產(chǎn)生和管理決定設(shè)備的安全能力

客戶機(jī)密安全配置(密匙和證書)

安全調(diào)試

RMA mode :快速診斷由于缺陷而返回的設(shè)備

2.內(nèi)容保護(hù)

cortexA7 TrustZone、SRAM、DRAM等

3.安全

對(duì)硬件單元的訪問(wèn)控制的配置寄存器的防火墻保護(hù)

分區(qū)的NOC映射

4.第三方應(yīng)用的執(zhí)行

A7提供資源(TEE)，允許執(zhí)行第三方應(yīng)用程序，同時(shí)保留

平臺(tái)的完整性、安全性、內(nèi)容保護(hù)性、安全性等特點(diǎn)。

5.軟件許可與版本控制

二、安全資源

1.Trusted Execution Environment(TEES)

TrustZone extensions、DRAM 、SPRAM、regitsters、crypto engines、OTP 、ROMcode.etc

2.微型控制子系統(tǒng)(MCS)

cortex M3，Network on chip，SHA-256 engine，ROM code.

3.常供電區(qū)域

TEES MCS

4.IPC

內(nèi)部處理器通信機(jī)制帶安全機(jī)制

5.安全DMA

大多數(shù)DMA通道可配置成安全模式和非安全模式

三、生命周期狀態(tài)(LCS)

芯片制造、設(shè)備制造、安全、安全禁用。

四、認(rèn)證啟動(dòng)

cortex M3、cortex A7

五、安全子系統(tǒng)

平臺(tái)安全由安全子系統(tǒng)硬件支持

六、MCS 安全

MCS安全包括SH-256和AES-128加密硬件控制器。

七、配置TEE

1.內(nèi)存防火墻

SPRAM、DRAM

防火墻用于設(shè)置針對(duì)特定發(fā)起方的內(nèi)存緩沖區(qū)，并可以提供不同的訪問(wèn)。

對(duì)于不同的發(fā)起人和不同權(quán)限的讀/寫訪問(wèn)的緩沖區(qū)的權(quán)限。

2.寄存器防火墻

寄存器防火墻可以被配置為保護(hù)塊(地址范圍)免受特定CPU發(fā)起人，其他，非

在任何情況下，CPU發(fā)起人都無(wú)法訪問(wèn)寄存器。

3.KAS、ARM和cortex M3 安全通信傳輸

4.NoC安全邊帶信號(hào)

八、配置IPC安全

安全配置應(yīng)該使用NFWW邊帶管理器根據(jù)安全要求劃分這些。

九、DMA控制器

每個(gè)DMA控制器(除DMAC1由NOC目標(biāo)防火墻(NTFW)保護(hù))

根據(jù)相關(guān)聯(lián)的安全狀態(tài)，每個(gè)DMAC信道可以被配置為安全或非安全的。

十、安全性

安全性是通過(guò)在ARM CORTEX-A7(CA7)和ARM CORTEX-M3(CM3)之間劃分單元來(lái)實(shí)現(xiàn)的。

十一、調(diào)試

ARM使用術(shù)語(yǔ)“安全調(diào)試”，這意味著CaleSee硬件可以生成安全事務(wù)。

調(diào)試與安全相關(guān)的項(xiàng)。安全調(diào)試還涉及安全設(shè)備的調(diào)試。

十二、供應(yīng)

供應(yīng)是引入OEM特定機(jī)密(例如DRM密鑰)和完整性關(guān)鍵數(shù)據(jù)(例如證書)的行為再進(jìn)入系統(tǒng)

十三、區(qū)域返回操作/RMA

車載安全機(jī)制

一、硬件安全

1.主板安全(主板上調(diào)試接口、測(cè)試點(diǎn)安全評(píng)估)

2.存儲(chǔ)安全(敏感器件標(biāo)識(shí)、存儲(chǔ)器件安全評(píng)估)

3.總線安全(can總線安全協(xié)議)

4.無(wú)線模塊安全

二、軟件安全

1.代碼邏輯安全

2.日志輸出安全

3.運(yùn)行數(shù)據(jù)安全

4.通信安全(4G、wifi、藍(lán)牙等)

5.業(yè)務(wù)邏輯安全

6.啟動(dòng)安全

7.權(quán)限控制

8.更新安全

9.操作系統(tǒng)安全

10.應(yīng)用安全(應(yīng)用系統(tǒng)和應(yīng)用程序的安全)

11.可修復(fù)安全

12.固件安全(存儲(chǔ)安全、啟動(dòng)安全、升級(jí)安全)

13.系統(tǒng)安全加固和漏洞利用緩解

(1)開啟隨機(jī)數(shù)生成開關(guān)(CONFIG_ARCH_RANDOM)、選擇對(duì)應(yīng)隨機(jī)數(shù)生成硬件平臺(tái)(CONFIG_HW_RANDOM)

(2)開啟審計(jì)支持(CONFIG_AUDIT)、支持對(duì)系統(tǒng)調(diào)用審計(jì)(CONFIG_AUDITSYSCALL)

(3)開啟SYNcookie以應(yīng)對(duì)拒絕服務(wù)攻擊(CONFIG_SYN_COOKIES)

(4)開啟棧溢出保護(hù)(CONFIG_CC_STACKPROTECTOR)

(5)開啟內(nèi)核只讀數(shù)據(jù)不可寫(CONFIG_DEBUG_RODATA)

(6)約束root權(quán)限對(duì)/dev/mem訪問(wèn)權(quán)限(CONFIG_STRICT_DEVMEM)

(7)關(guān)閉/proc/kcore內(nèi)存映射(CONFIG_PROC_KCORE)

(8)開機(jī)系統(tǒng)內(nèi)核日志訪問(wèn)控制(CONFIG_SECUITY_DMESG_RESTRICT)

(9)開啟內(nèi)存也可執(zhí)行權(quán)限檢查(CONFIG_PAX_NOEXEC)

(10)開啟內(nèi)存權(quán)限檢查(CONFIG_PAX_MPROTECT)

(11)開啟地址空間布局隨機(jī)化(CONFIG_PAX_ASLR)

(12)開啟內(nèi)核棧布局隨機(jī)化(CONFIG_PAX_RANDKSTACK)

開啟用戶控件棧布局隨機(jī)化(CONFIG_PAX_RANDUSTACK)

(13)開機(jī)映射空間布局隨機(jī)化(CONFIG_PAX_RANDMMAP)

(14)開啟/proc目錄安全加固(CONFIG_GRKERNSEC_PROC)

(15)開啟/proc目錄用戶隔離(CONFIG_GRKERNSEC_PROC_USER)

(16)開啟/proc目錄用戶組隔離(CONFIG_GRKERNSEC_PROC_GROUP)

(17)阻止非root用戶訪問(wèn)設(shè)備信息(CONFIG_GRKERNSEC_PROC_ADD)

(18)阻止查看其它用戶LINK信息(CONFIG_GRKERNSEC_LINK)

(19)阻止用戶向其他用戶管道進(jìn)行寫入(CONFIG_GRKERNSEC_FIFO)

(20)CHRROOT安全策略加固(CONFIG_GRKERNSEC_CHROOT)

(21)開啟可執(zhí)行文件與腳本白名單配置(CONFIG_GRKERNSEC_TPE)

(22)自主訪問(wèn)控制(訪問(wèn)權(quán)限控制USER-GROUP-OTHER、Linux Capability機(jī)制、安卓權(quán)限機(jī)制)

(23)強(qiáng)制訪問(wèn)控制(SELINUX、APPArmor、基于linux內(nèi)核系統(tǒng)模塊)

三、移動(dòng)app

應(yīng)用安全(應(yīng)用系統(tǒng)和應(yīng)用程序的安全)

身份認(rèn)證、會(huì)話管理、敏感數(shù)據(jù)存儲(chǔ)傳輸、組件安全、常見安全漏洞、不安全運(yùn)行環(huán)境。

四、云平臺(tái)TSP

總結(jié)

以上是生活随笔為你收集整理的linux系统的安全机制有哪些内容,系统安全机制的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。