Xsphinx.addnodesdocument)}( rawsourcechildren]( translations LanguagesNode)}(hhh](h pending_xref)}(hhh]docutils.nodesTextEnglish}parenthsba attributes}(ids]classes]names]dupnames]backrefs] refdomainstdreftypedoc reftarget /security/lsmmodnameN classnameN refexplicitutagnamehhh ubh)}(hhh]hChinese (Traditional)}hh2sbah}(h]h ]h"]h$]h&] refdomainh)reftypeh+ reftarget /translations/zh_TW/security/lsmmodnameN classnameN refexplicituh1hhh ubh)}(hhh]hItalian}hhFsbah}(h]h ]h"]h$]h&] refdomainh)reftypeh+ reftarget /translations/it_IT/security/lsmmodnameN classnameN refexplicituh1hhh ubh)}(hhh]hJapanese}hhZsbah}(h]h ]h"]h$]h&] refdomainh)reftypeh+ reftarget /translations/ja_JP/security/lsmmodnameN classnameN refexplicituh1hhh ubh)}(hhh]hKorean}hhnsbah}(h]h ]h"]h$]h&] refdomainh)reftypeh+ reftarget /translations/ko_KR/security/lsmmodnameN classnameN refexplicituh1hhh ubh)}(hhh]hSpanish}hhsbah}(h]h ]h"]h$]h&] refdomainh)reftypeh+ reftarget /translations/sp_SP/security/lsmmodnameN classnameN refexplicituh1hhh ubeh}(h]h ]h"]h$]h&]current_languageChinese (Simplified)uh1h hh _documenthsourceNlineNubhcomment)}(h SPDX-License-Identifier: GPL-2.0h]h SPDX-License-Identifier: GPL-2.0}hhsbah}(h]h ]h"]h$]h&] xml:spacepreserveuh1hhhhhhM/var/lib/git/docbuild/linux/Documentation/translations/zh_CN/security/lsm.rsthKubhnote)}(hX{此文件的目的是为让中文读者更容易阅读和理解，而不是作为一个分支。 因此， 如果您对此文件有任何意见或更新，请先尝试更新原始英文文件。 如果您发现本文档与原始文件有任何不同或者有翻译问题，请发建议或者补丁给 该文件的译者，或者请求中文文档维护者和审阅者的帮助。h]h paragraph)}(hX{此文件的目的是为让中文读者更容易阅读和理解，而不是作为一个分支。 因此， 如果您对此文件有任何意见或更新，请先尝试更新原始英文文件。 如果您发现本文档与原始文件有任何不同或者有翻译问题，请发建议或者补丁给 该文件的译者，或者请求中文文档维护者和审阅者的帮助。h]hX{此文件的目的是为让中文读者更容易阅读和理解，而不是作为一个分支。 因此， 如果您对此文件有任何意见或更新，请先尝试更新原始英文文件。 如果您发现本文档与原始文件有任何不同或者有翻译问题，请发建议或者补丁给 该文件的译者，或者请求中文文档维护者和审阅者的帮助。}(hhhhhNhNubah}(h]h ]h"]h$]h&]uh1hh5Documentation/translations/zh_CN/disclaimer-zh_CN.rsthKhhubah}(h]h ]h"]h$]h&]uh1hhhhhhhhNubh field_list)}(hhh](hfield)}(hhh](h field_name)}(hOriginalh]hOriginal}(hhhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhhhKubh field_body)}(hDocumentation/security/lsm.rst h]h)}(hDocumentation/security/lsm.rsth]hDocumentation/security/lsm.rst}(hhhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKhhubah}(h]h ]h"]h$]h&]uh1hhhubeh}(h]h ]h"]h$]h&]uh1hhhhKhhhhubh)}(hhh](h)}(h翻译h]h翻译}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1hhj hhhKubh)}(h5赵岳辉 Yuehui Zhao h]h)}(h4赵岳辉 Yuehui Zhao h](h赵岳辉 Yuehui Zhao <}(hj hhhNhNubh reference)}(hzhaoyuehui@cqsoftware.com.cnh]hzhaoyuehui@cqsoftware.com.cn}(hj*hhhNhNubah}(h]h ]h"]h$]h&]refuri#mailto:zhaoyuehui@cqsoftware.com.cnuh1j(hj ubh>}(hj hhhNhNubeh}(h]h ]h"]h$]h&]uh1hhhhKhjubah}(h]h ]h"]h$]h&]uh1hhj ubeh}(h]h ]h"]h$]h&]uh1hhhhKhhhhubeh}(h]h ]h"]h$]h&]uh1hhhhhhhhKubhsection)}(hhh](htitle)}(h+Linux安全模块：Linux通用安全钩子h]h+Linux安全模块：Linux通用安全钩子}(hj]hhhNhNubah}(h]h ]h"]h$]h&]uh1j[hjXhhhhhK ubh)}(hhh](h)}(hhh](h)}(h作者h]h作者}(hjqhhhNhNubah}(h]h ]h"]h$]h&]uh1hhjnhhhKubh)}(hStephen Smalleyh]h)}(hjh]hStephen Smalley}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKhjubah}(h]h ]h"]h$]h&]uh1hhjnubeh}(h]h ]h"]h$]h&]uh1hhhhKhjkhhubh)}(hhh](h)}(h作者h]h作者}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1hhjhhhKubh)}(hTimothy Fraserh]h)}(hjh]hTimothy Fraser}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKhjubah}(h]h ]h"]h$]h&]uh1hhjubeh}(h]h ]h"]h$]h&]uh1hhhhKhjkhhubh)}(hhh](h)}(h作者h]h作者}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1hhjhhhKubh)}(h Chris Vance h]h)}(h Chris Vanceh]h Chris Vance}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKhjubah}(h]h ]h"]h$]h&]uh1hhjubeh}(h]h ]h"]h$]h&]uh1hhhhKhjkhhubeh}(h]h ]h"]h$]h&]uh1hhjXhhhhhKubh)}(h'本文中描述的api已经过时了。h]h)}(hjh]h'本文中描述的api已经过时了。}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKhjubah}(h]h ]h"]h$]h&]uh1hhjXhhhhhNubjW)}(hhh](j\)}(h介绍h]h介绍}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1j[hjhhhhhKubh)}(hX-在2001年3月，美国国家安全局（NSA）在2.5 Linux内核峰会上做了一个关于安全 增强Linux（SELinux）的报告。SELinux是Linux内核中一种实现灵活且细粒度的非 自主访问控制，最初作为自己特定的内核补丁实现。其他一些安全项目（例如RSBAC、 Medusa）也为Linux内核开发了灵活的访问控制架构，并且多个项目为Linux开发了 特定的访问控制模型（例如LIDS、DTE、SubDomain）。每个项目都开发并维护了自 己的内核补丁，以支持其安全需求。h]hX-在2001年3月，美国国家安全局（NSA）在2.5 Linux内核峰会上做了一个关于安全 增强Linux（SELinux）的报告。SELinux是Linux内核中一种实现灵活且细粒度的非 自主访问控制，最初作为自己特定的内核补丁实现。其他一些安全项目（例如RSBAC、 Medusa）也为Linux内核开发了灵活的访问控制架构，并且多个项目为Linux开发了 特定的访问控制模型（例如LIDS、DTE、SubDomain）。每个项目都开发并维护了自 己的内核补丁，以支持其安全需求。}(hj'hhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKhjhhubh)}(hX针对美国国家安全局的报告，Linus Torvalds发表了一系列言论，描述了一个他愿 意考虑纳入主流Linux内核的安全框架。他描述了一个通用的框架，该框架将提供 一组安全钩子来控制对内核对象的操作，同时在内核数据结构中提供一组不透明的 安全域来维护安全属性。这个框架可以被可加载的内核模块用来实现任何所需的安 全模型。Linus还提出了将Linux权能代码迁移到这样一个模块中的可能性。h]hX针对美国国家安全局的报告，Linus Torvalds发表了一系列言论，描述了一个他愿 意考虑纳入主流Linux内核的安全框架。他描述了一个通用的框架，该框架将提供 一组安全钩子来控制对内核对象的操作，同时在内核数据结构中提供一组不透明的 安全域来维护安全属性。这个框架可以被可加载的内核模块用来实现任何所需的安 全模型。Linus还提出了将Linux权能代码迁移到这样一个模块中的可能性。}(hj5hhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhK hjhhubh)}(hXLinux安全模块（LSM）项目是由WireX发起开发的这样一个框架。LSM是几个安全 项目共同开发的成果，包括immununix、SELinux、SGI和Janus，以及包括 Greg Kroah-Hartman和James Morris在内的几个人，来开发一个实现这一框架的 Linux内核补丁。这项工作在2003年12月被纳入主流内核。此技术报告概述了该框 架和权能安全模块的内容。h]hXLinux安全模块（LSM）项目是由WireX发起开发的这样一个框架。LSM是几个安全 项目共同开发的成果，包括immununix、SELinux、SGI和Janus，以及包括 Greg Kroah-Hartman和James Morris在内的几个人，来开发一个实现这一框架的 Linux内核补丁。这项工作在2003年12月被纳入主流内核。此技术报告概述了该框 架和权能安全模块的内容。}(hjChhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhK&hjhhubeh}(h]id1ah ]h"]介绍ah$]h&]uh1jVhjXhhhhhKubjW)}(hhh](j\)}(h LSM框架h]h LSM框架}(hj\hhhNhNubah}(h]h ]h"]h$]h&]uh1j[hjYhhhhhK-ubh)}(hXLSM框架提供了一个通用的内核框架来支持安全模块。特别地，LSM框架主要关注 支持访问控制模块，尽管未来的开发可能会解决其他安全需求，比如沙箱。就其 本身而言，框架不提供任何额外的安全；它仅提供了支持安全模块的基础架构。 LSM框架是可选的，要求开启 `CONFIG_SECURITY` 配置。权能逻辑作为一个安全 模块被实现。该权能模块将在 `LSM权能模块`_ 一节中进一步讨论。h](hX`LSM框架提供了一个通用的内核框架来支持安全模块。特别地，LSM框架主要关注 支持访问控制模块，尽管未来的开发可能会解决其他安全需求，比如沙箱。就其 本身而言，框架不提供任何额外的安全；它仅提供了支持安全模块的基础架构。 LSM框架是可选的，要求开启 }(hjjhhhNhNubhtitle_reference)}(h`CONFIG_SECURITY`h]hCONFIG_SECURITY}(hjthhhNhNubah}(h]h ]h"]h$]h&]uh1jrhjjubhQ 配置。权能逻辑作为一个安全 模块被实现。该权能模块将在 }(hjjhhhNhNubj))}(h`LSM权能模块`_h]hLSM权能模块}(hjhhhNhNubah}(h]h ]h"]h$]h&]nameLSM权能模块refidid2uh1j(hjjresolvedKubh 一节中进一步讨论。}(hjjhhhNhNubeh}(h]h ]h"]h$]h&]uh1hhhhK/hjYhhubh)}(hX>LSM框架在内核数据结构中包含安全域，并在内核代码的关键点调用钩子函数来 管理这些安全域并执行访问控制。它还增加了注册安全模块的函数。接口 /sys/kernel/security/lsm记录了一个以逗号分隔的安全模块列表，这些模块在 系统中是激活的。h]hX>LSM框架在内核数据结构中包含安全域，并在内核代码的关键点调用钩子函数来 管理这些安全域并执行访问控制。它还增加了注册安全模块的函数。接口 /sys/kernel/security/lsm记录了一个以逗号分隔的安全模块列表，这些模块在 系统中是激活的。}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhK5hjYhhubh)}(hXLSM安全域只是 ``void*`` 指针。数据被称为blob，这些数据可以由框架或使用 它的各个安全模块进行管理。多个安全模块共同使用的安全blob通常由框架管理。 对于进程和程序执行的安全信息，安全域包含在 :c:type: `struct task_struct ` 和 :c:type: `struct cred ` 中。 对于文件系统的安全信息，安全域包含在 :c:type: `struct super_block ` 中。对于管道、文件和套接字的安全信息， 安全域包含在 :c:type: `struct inode ` 和 :c:type: `struct file ` 中。对于System V IPC的安全信息，安全域被添加到 :c:type: `struct kern_ipc_perm ` 和 :c:type: `struct msg_msg ` 中；另外，:c:type: `struct msg_msg ` 、struct msg_queue和 struct shmid_kernel的定义被移动到头文件中（ ``include/linux/msg.h`` 和 ``include/linux/shm.h`` 视情况而定），以允许安全模块使用这些定义。h](hLSM安全域只是 }(hjhhhNhNubhliteral)}(h ``void*``h]hvoid*}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1jhjubh 指针。数据被称为blob，这些数据可以由框架或使用 它的各个安全模块进行管理。多个安全模块共同使用的安全blob通常由框架管理。 对于进程和程序执行的安全信息，安全域包含在 :c:type: }(hjhhhNhNubjs)}(h"`struct task_struct `h]h struct task_struct }(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1jrhjubh 和 :c:type: }(hjhhhNhNubjs)}(h`struct cred `h]hstruct cred }(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1jrhjubhH 中。 对于文件系统的安全信息，安全域包含在 :c:type: }(hjhhhNhNubjs)}(h"`struct super_block `h]h struct super_block }(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1jrhjubhW 中。对于管道、文件和套接字的安全信息， 安全域包含在 :c:type: }(hjhhhNhNubjs)}(h`struct inode `h]hstruct inode }(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1jrhjubh 和 :c:type: }hjsbjs)}(h`struct file `h]hstruct file }(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1jrhjubhJ 中。对于System V IPC的安全信息，安全域被添加到 :c:type: }(hjhhhNhNubjs)}(h&`struct kern_ipc_perm `h]h$struct kern_ipc_perm }(hj'hhhNhNubah}(h]h ]h"]h$]h&]uh1jrhjubh 和 :c:type: }hjsbjs)}(h`struct msg_msg `h]hstruct msg_msg }(hj9hhhNhNubah}(h]h ]h"]h$]h&]uh1jrhjubh 中；另外，:c:type: }(hjhhhNhNubjs)}(h`struct msg_msg `h]hstruct msg_msg }(hjKhhhNhNubah}(h]h ]h"]h$]h&]uh1jrhjubhP 、struct msg_queue和 struct shmid_kernel的定义被移动到头文件中（ }(hjhhhNhNubj)}(h``include/linux/msg.h``h]hinclude/linux/msg.h}(hj]hhhNhNubah}(h]h ]h"]h$]h&]uh1jhjubh 和 }(hjhhhNhNubj)}(h``include/linux/shm.h``h]hinclude/linux/shm.h}(hjohhhNhNubah}(h]h ]h"]h$]h&]uh1jhjubh@ 视情况而定），以允许安全模块使用这些定义。}(hjhhhNhNubeh}(h]h ]h"]h$]h&]uh1hhhhK:hjYhhubh)}(hX>对于数据包和网络设备的安全信息，安全域被添加到 :c:type: `struct sk_buff ` 和 :c:type: `struct scm_cookie ` 中。 与其他安全模块数据不同，这里使用的数据是一个32位整数。安全模块需要将这些值 进行映射或关联到真正的安全属性。h](hO对于数据包和网络设备的安全信息，安全域被添加到 :c:type: }(hjhhhNhNubjs)}(h`struct sk_buff `h]hstruct sk_buff }(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1jrhjubh 和 :c:type: }(hjhhhNhNubjs)}(h `struct scm_cookie `h]hstruct scm_cookie }(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1jrhjubh 中。 与其他安全模块数据不同，这里使用的数据是一个32位整数。安全模块需要将这些值 进行映射或关联到真正的安全属性。}(hjhhhNhNubeh}(h]h ]h"]h$]h&]uh1hhhhKGhjYhhubh)}(hLSM钩子被维护在链表中。每个钩子函数都维护一个链表，这些钩子按照CONFIG_LSM中 指定的顺序被调用。每个钩子的详细文档都包含在 `security/security.c` 源文件中。h](hLSM钩子被维护在链表中。每个钩子函数都维护一个链表，这些钩子按照CONFIG_LSM中 指定的顺序被调用。每个钩子的详细文档都包含在 }(hjhhhNhNubjs)}(h`security/security.c`h]hsecurity/security.c}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1jrhjubh 源文件中。}(hjhhhNhNubeh}(h]h ]h"]h$]h&]uh1hhhhKLhjYhhubh)}(hX}LSM框架提供了一种近似通用的安全模块堆栈。它定义了security_add_hooks()，每个安 全模块向它传递一个 :c:type: `struct security_hooks_list ` ，该结构会被添加到链表中。LSM框架没有提供移除已注册钩子的机制。SELinux安全 模块已经实现了一种移除自身的方法，然而该特性已被弃用。h](hLSM框架提供了一种近似通用的安全模块堆栈。它定义了security_add_hooks()，每个安 全模块向它传递一个 :c:type: }(hjhhhNhNubjs)}(h2`struct security_hooks_list `h]h0struct security_hooks_list }(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1jrhjubh ，该结构会被添加到链表中。LSM框架没有提供移除已注册钩子的机制。SELinux安全 模块已经实现了一种移除自身的方法，然而该特性已被弃用。}(hjhhhNhNubeh}(h]h ]h"]h$]h&]uh1hhhhKOhjYhhubh)}(hXa这些钩子可以分为两大类：用于管理安全域的钩子和用于执行访问控制的钩子。 第一类钩子的示例包括security_inode_alloc()和security_inode_free()，这些 钩子用于为inode对象分配和释放安全结构。第二类钩子的示例是 security_inode_permission()钩子，该钩子在访问inode时检查权限。h]hXa这些钩子可以分为两大类：用于管理安全域的钩子和用于执行访问控制的钩子。 第一类钩子的示例包括security_inode_alloc()和security_inode_free()，这些 钩子用于为inode对象分配和释放安全结构。第二类钩子的示例是 security_inode_permission()钩子，该钩子在访问inode时检查权限。}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKThjYhhubeh}(h]lsmah ]h"] lsm框架ah$]h&]uh1jVhjXhhhhhK-ubjW)}(hhh](j\)}(hLSM权能模块h]hLSM权能模块}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1j[hjhhhhhKZubh)}(hXiPOSIX.1e 权能逻辑作为一个安全模块维护，存储在文件 ``security/commoncap.c`` 中。权能模块使用 :c:type: `lsm_info` 描述中的order域来标识它为第一个注册 的安全模块。与其他模块不同，权能安全模块不使用通用的安全blob。其原因是历史 性的，主要基于开销、复杂性和性能的考虑。h](hFPOSIX.1e 权能逻辑作为一个安全模块维护，存储在文件 }(hj hhhNhNubj)}(h``security/commoncap.c``h]hsecurity/commoncap.c}(hj(hhhNhNubah}(h]h ]h"]h$]h&]uh1jhj ubh# 中。权能模块使用 :c:type: }(hj hhhNhNubjs)}(h `lsm_info`h]hlsm_info}(hj:hhhNhNubah}(h]h ]h"]h$]h&]uh1jrhj ubh 描述中的order域来标识它为第一个注册 的安全模块。与其他模块不同，权能安全模块不使用通用的安全blob。其原因是历史 性的，主要基于开销、复杂性和性能的考虑。}(hj hhhNhNubeh}(h]h ]h"]h$]h&]uh1hhhhK\hjhhubeh}(h]jah ]h"]lsm权能模块ah$]h&]uh1jVhjXhhhhhKZ referencedKubeh}(h] linux-linuxah ]h"]+linux安全模块：linux通用安全钩子ah$]h&]uh1jVhhhhhhhK ubeh}(h]h ]h"]h$]h&]sourcehuh1hcurrent_sourceN current_lineNsettingsdocutils.frontendValues)}(j[N generatorN datestampN source_linkN source_urlN toc_backlinksentryfootnote_backlinksK sectnum_xformKstrip_commentsNstrip_elements_with_classesN strip_classesN report_levelK halt_levelKexit_status_levelKdebugNwarning_streamN tracebackinput_encoding utf-8-siginput_encoding_error_handlerstrictoutput_encodingutf-8output_encoding_error_handlerjerror_encodingutf-8error_encoding_error_handlerbackslashreplace language_codeenrecord_dependenciesNconfigN id_prefixhauto_id_prefixid dump_settingsNdump_internalsNdump_transformsNdump_pseudo_xmlNexpose_internalsNstrict_visitorN_disable_configN_sourceh _destinationN _config_files]7/var/lib/git/docbuild/linux/Documentation/docutils.confafile_insertion_enabled raw_enabledKline_length_limitM'pep_referencesN pep_base_urlhttps://peps.python.org/pep_file_url_templatepep-%04drfc_referencesN rfc_base_url&https://datatracker.ietf.org/doc/html/ tab_widthKtrim_footnote_reference_spacesyntax_highlightlong smart_quotessmartquotes_locales]character_level_inline_markupdoctitle_xform docinfo_xformKsectsubtitle_xform image_loadinglinkembed_stylesheetcloak_email_addressessection_self_linkenvNubreporterNindirect_targets]substitution_defs}substitution_names}refnames}lsm权能模块]jasrefids}nameids}(j_j\jVjSj j jVju nametypes}(j_jVj jVuh}(j\jXjSjj jYjju footnote_refs} citation_refs} autofootnotes]autofootnote_refs]symbol_footnotes]symbol_footnote_refs] footnotes] citations]autofootnote_startKsymbol_footnote_startK id_counter collectionsCounter}jKsRparse_messages]transform_messages] transformerN include_log]1Documentation/translations/zh_CN/security/lsm.rst(NNNNta decorationNhhub.