-
QUERVERWEIS AUF VERWANDTE ANMELDUNGEN
-
Diese Anmeldung beansprucht die Priorität der vorläufigen US-Anmeldung lfd. Nr. 61/909,451, die am 27. November 2013 eingereicht wurde und deren Offenbarungsgehalt hierin durch Bezugnahme mit eingeschlossen ist.
-
HINTERGRUND DER ERFINDUNG
-
Eine Ausführungsform bezieht sich allgemein auf mobile Recheneinrichtungen.
-
Betriebssystemplattformen für mobile Recheneinrichtungen ermöglichen den Benutzern solcher Einrichtungen, Anwendungsprogramme auf ihre mobilen Recheneinrichtungen herunterzuladen.
-
Ein zentraler Entwurfspunkt der Betriebssystemplattformen ist die Sicherheitsarchitektur. Standardmäßig hat keine Anwendung die Genehmigung, irgendeine Operation durchzuführen, die andere Anwendungen oder das Betriebssystem nachteilig beeinflussen würde. Solche Anwendungen, die an der gleichen Plattform der mobilen Recheneinrichtung ausgeführt werden, teilen Ressourcen und Daten. Dies wird durchgeführt, indem Genehmigungen deklariert werden, die für eine Ausführung der Anwendung erforderlich sind, jedoch möglicherweise anfänglich nicht durch das Betriebssystem zugelassen werden. Als Ergebnis werden, wenn Benutzer der mobilen Recheneinrichtung eine jeweilige Anwendung auf ihre mobile Recheneinrichtung herunterladen, die Benutzer durch das Betriebssystem bezüglich dessen aufgefordert, welche Genehmigungen zum Ausführen der Anwendung zugelassen werden. Der Benutzer wird zu dem Zeitpunkt, zu dem die Anwendung installiert wird, hinsichtlich einer Zustimmung aufgefordert. Derartige Systeme weisen keinen Mechanismus auf, um Genehmigungen zu dem Zeitpunkt, zu dem die Anwendung ausgeführt wird, zu erteilen. Sobald der Benutzer die Genehmigung bei den Anwendungsgenehmigungen auf hoher Ebene akzeptiert, gibt es keine Sicherheitsprüfung für schädliche Anwendungen, die, sobald sie installiert wurden, Wege in dem Betriebssystem finden, um Zugriff auf Systemressourcen zu erhalten, die für die Anwendung, wenn sie gestartet wird, gesperrt sein sollten.
-
ZUSAMMENFASSUNG DER ERFINDUNG
-
Ein Vorteil einer Ausführungsform ist das Abbilden von Anwendungsgenehmigungen auf hoher Ebene auf Strategien einer obligatorischen Zugriffskontrolle (MAC) auf niedriger Ebene. Anwendungsgenehmigungen auf hoher Ebene, deklariert in einer Datei, die Teil des Anwendungspakets ist, und oftmals vor der Installation dem Benutzer für eine nachfolgende Zustimmung dargestellt, wurden jüngst hinsichtlich einer großen Klasse von mobilen Einrichtungen [engl.: ”devised”] übernommen, welche die Betriebssystemplattform verwenden. Die hierin beschriebenen Ausführungsformen sind auf eine große Vielzahl von Plattformen zum Erzeugen feinerer Strategien auf der Grundlage der in einer Genehmigungsdatei angeforderten Genehmigungen anwendbar, wobei der Zugriff jeder Anwendung auf Ressourcen beschränkt wird, das Gesamtsystem gestärkt wird und die Sicherheit verbessert wird.
-
Bei einer Ausführungsform der Erfindung wird ein Verfahren in Betracht gezogen, das für eine Zugriffskontrolle eines Anwendungsmerkmals hinsichtlich Ressourcen an einer mobilen Recheneinrichtung bereitgestellt wird. Eine Anwendung wird für eine Installation an der mobilen Recheneinrichtung über einen Prozessor vorbereitet. Eine Anwendungsgenehmigung, die mit der Anwendung in Verbindung steht, wird identifiziert. Die Anwendungsgenehmigung bezieht sich auf einen Zugriff von Ressourcen der mobilen Recheneinrichtung. Es werden Einschränkungen ermittelt, die mit der Anwendungsgenehmigung in Verbindung stehen. Es wird ein Satz von Regeln einer obligatorischen Zugriffskontrolle auf der Grundlage der Einschränkungen für die Anwendungsgenehmigung definiert. Der Satz von Regeln einer obligatorischen Zugriffskontrolle und die Anwendungsgenehmigung werden in einem Modul einer ladbaren Strategie einer obligatorischen Zugriffskontrolle kombiniert. Die ladbare Strategie einer obligatorischen Zugriffskontrolle wird in einem Speicher der mobilen Recheneinrichtung gespeichert. Das Modul einer ladbaren Strategie einer obligatorischen Zugriffskontrolle kann durch ein Betriebssystem der mobilen Recheneinrichtung durchgesetzt werden.
-
Es wird ein Verfahren zum Installieren einer Zugriffskontrolle an einer mobilen Recheneinrichtung bereitgestellt. Es wird eine Kommunikation zwischen einer mobilen Recheneinrichtung und einer Anwendungsverteilungsentität hergestellt. Die Anwendungsverteilungsentität ist ausgestaltet, um bei einer Anforderung durch die mobile Recheneinrichtung eine Anwendung an die mobile Recheneinrichtung zu übertragen. Es wird eine Anforderung durch die mobile Recheneinrichtung zum Herunterladen der Anwendung an die Anwendungsentität gesendet. Anwendungsgenehmigungen, die mit der Anwendung in Verbindung stehen, werden identifiziert, wobei sich die Anwendungsgenehmigung auf Zugriffsressourcen der mobilen Recheneinrichtung bezieht. Es werden Einschränkungen ermittelt, die mit der Anwendungsgenehmigung in Verbindung stehen. Es wird ein Satz von Regeln einer obligatorischen Zugriffskontrolle für die Anwendungsgenehmigung definiert. Der Satz von Regeln einer obligatorischen Zugriffskontrolle und die Anwendungsgenehmigung werden in einem Modul einer ladbaren Strategie einer obligatorischen Zugriffskontrolle kombiniert.
-
KURZBESCHREIBUNG DER ZEICHNUNGEN
-
1 ist eine bildhafte Darstellung einer mobilen Recheneinrichtung.
-
2 ist eine bildhafte Darstellung einer mobilen Recheneinrichtung, die Genehmigungen auf hoher Ebene anzeigt.
-
3 ist eine Blockdiagrammdarstellung der kommunizierenden Einrichtungen.
-
4 ist ein beispielhaftes Blockdiagramm der Interaktion zwischen einer Anwendungsverteilungseinrichtung und einer mobilen Recheneinrichtung.
-
5 ist ein Blockdiagramm zum Installieren einer Anwendung an einer generischen Plattform mit MAC-Fähigkeit.
-
6 ist eine Darstellung von beispielhaften Beispielanwendungsgenehmigungen.
-
7 ist eine Darstellung einer beispielhaften Manifest-Datei.
-
8 ist eine Darstellung eines Moduls einer ladbaren Strategie.
-
DETAILLIERTE BESCHREIBUNG
-
1 zeigt eine mobile Einrichtung 10, die ein Smartphone, das von einem Benutzer mitgeführt wird und als multifunktionale Rechen- und Telefonieeinrichtung verwendet wird, umfasst, jedoch nicht darauf beschränkt ist. Die mobile Einrichtung 10 verwendet eine Mobilbetriebssystemplattform und erweiterte Schnittstellen zur Anwendungsprogrammierung (APIs von application programming interfaces), um mobile Anwendungen auszuführen. Eine mobile Anwendung ist eine Softwareanwendung, die entworfen ist, um an verschiedenen Typen von mobilen Recheneinrichtungen ausgeführt zu werden. Diese Anwendungen stehen über Anwendungsverteilungsplattformen zur Verfügung. Mobile Anwendungen sind entweder kostenlos oder müssen gekauft werden. Solche Anwendungen werden von der Betriebssystemplattform auf die mobile Einrichtung heruntergeladen. Aufgrund der Vielseitigkeit des Ausführens verschiedener Anwendungen an der mobilen Einrichtung, die typischerweise an einem Computer ausgeführt werden, wächst die Vielfalt und die Anzahl an Anwendungen, die auf die mobile Einrichtung heruntergeladen werden können, ständig.
-
Wenn eine Anwendung auf eine mobile Recheneinrichtung heruntergeladen wird, wird der Benutzer hinsichtlich einer oder mehrerer Genehmigungen auf hoher Ebene aufgefordert, welchen der Benutzer zustimmen muss, um die Installation der Anwendung abzuschließen. Genehmigungen sind Sicherheitsmerkmale, welche Mechanismen sind, die Einschränkungen hinsichtlich der spezifischen Ressourcen oder Operationen der mobilen Recheneinrichtung, welche ein bestimmter Prozess durchführen kann, durchsetzen. Ein Beispiel für Genehmigungen ist in 2 gezeigt. Die gezeigten Genehmigungen 12 sind nur einige mehrerer Genehmigungen, die für einen Zugriff durch die Anwendung angefordert werden können, wenn die Anwendung gestartet wird oder verwendet wird. Solche Genehmigungen auf hoher Ebene umfassen Lies/Empfange SMS oder MMS, Kursort/genauer(GPS-)Ort, voller Internetzugriff, das Überwachen abgehender Anrufe, das Lesen der Kontaktliste, Wahlgenehmigungen, Textzugriffsgenehmigungen und eine Adressbuchinformation, sind jedoch nicht darauf beschränkt. Der Benutzer muss der Genehmigungsanforderung zustimmen; ansonsten wird die Anwendung nicht an der mobilen Einrichtung 10 gespeichert.
-
Sobald die Anwendung geladen wurde und wann immer versucht wird, die Anwendung zu starten, wird durch das Betriebssystem versucht, Autorisierungsregeln durchzusetzen, um zu ermitteln, ob ein Zugriff stattfinden kann. Es kann jedoch nicht allen installierten Anwendungen vertraut werden. Beispielsweise könnten einige Anwendungen durch nicht vertrauenswürdige Seiten entwickelt werden und können sie schädlichen Code enthalten, der, sobald er installiert wurde, Algorithmen aufweisen kann, die die durch das Betriebssystem durchgeführten Sicherheitsoperationen umgehen, oder einige Anwendungen können potentielle Sicherheitsschwachstellen aufweisen, wofür Sicherheitsrisiken minimiert werden müssen. Daher beschreibt die folgende Technik ein Framework, das die Entwicklung und Verwendung von Strategien einer obligatorischen Zugriffskontrolle (MAC von mandatory access control) auf niedriger Ebene ermöglicht, um die Sicherheit zu stärken, so dass nur jener spezifischen Genehmigung mit gewährter Autorisierung Zugriff gewährt wird. Der Prozess arbeitet, indem autorisierte Genehmigungen auf hoher Ebene Strategien einer MAC auf niedriger Ebene zugeordnet werden. MAC bezieht sich auf einen Typ von Zugriffskontrolle, durch den das Betriebssystem das Vermögen eines Subjekts, auf ein Objekt oder Ziel zuzugreifen/einen Typ von Operation daran durchzuführen, beschränkt. Im Allgemeinen bezieht sich ein Subjekt auf einen Prozess oder Thread, wohingegen Objekte Konstrukte, wie beispielsweise Dateien, Verzeichnisse, TCP/UDP-Ports, geteilte Speichersegmente etc., sind. Subjekte und Objekte weisen beide einen Satz von Sicherheitsattributen auf. Wenn ein Subjekt versucht, auf ein Objekt zuzugreifen, prüft eine Autorisierungsregel, durchgesetzt durch den Betriebssystemkern, die Sicherheitsattribute und führt sie die notwendige Ermittlung bezüglich dessen durch, ob ein Zugriff gewährt werden kann. Jede Operation durch ein Subjekt an einem Objekt wird hinsichtlich des Satzes von Autorisierungsregeln (hierin nachfolgend als MAC-Strategie bezeichnet) getestet, um zu ermitteln, ob die Operation zugelassen wird.
-
3 zeigt ein Blockdiagramm der hierin verwendeten Hardwareeinrichtungen. Die mobile Einrichtung 10 umfasst einen oder mehrere Prozessoren 14, einen Speicher 16, und einen Sender und Empfänger 18 oder kann als Transceiver kombiniert sein. Eine Anwendungsverteilungseinrichtung 20 ist eine Inhaber- oder Verteilereinrichtung einer Anwendung, die durch die mobile Einrichtung 10 angefordert wird. Die Anwendungsverteilungseinrichtung 20 verteilt bei einer Anforderung durch die mobile Einrichtung 10 eine Anwendung an die mobile Einrichtung zur Speicherung und Verwendung an der mobilen Einrichtung 10. Die Anwendung kann drahtlos oder drahtgebunden zwischen der Anwendungsverteilungseinrichtung 20 und der mobilen Einrichtung 10 übermittelt werden. Die Anwendung wird in einem Speicher 16 der mobilen Einrichtung gespeichert und wird über den Prozessor 16 ausgeführt. Es sei angemerkt, dass der Prozessor der primäre Prozessor der mobilen Einrichtung oder ein unabhängiger Prozessor sein kann.
-
4 zeigt ein beispielhaftes Blockdiagramm der Interaktion zum Anfordern eines Zugriffs auf Ressourcen an der mobilen Recheneinrichtung. Die mobile Recheneinrichtung umfasst eine Strategie 22 einer obligatorischen Zugriffskontrolle, die autorisierungsregeln ausführt, die verwendet werden, um zu ermitteln, ob ein Zugriff hinsichtlich der Ressourcen 24 der mobilen Recheneinrichtung 10 erhalten werden kann. Ressourcen umfassen Kommunikations-Ports 25, Sockets 26, Protokolle 27 und Peripheriegeräte 28 (z. B. Kameras, Kontaktlisten etc.), sind jedoch nicht darauf beschränkt. Es sei angemerkt, dass die oben erwähnten Ressourcen nur ein kleiner Bruchteil der verfügbaren Ressourcen sind, die an der mobilen Recheneinrichtung 10 zur Verfügung stehen.
-
Die Anwendungsgenehmigungen auf hoher Ebene, die in einer Datei deklariert sind und Teil eines Anwendungspakets sind und dem Benutzer vor der Installation der Anwendung für eine nachfolgende Zustimmung dargestellt werden, erzeugen feinere Strategien auf der Grundlage der Genehmigungen, die in diesen Genehmigungsdateien angefordert werden, wodurch der Zugriff auf Ressourcen jeder Anwendung beschränkt wird, das Gesamtsystem gestärkt wird und seine Sicherheit verbessert wird. Dieser Ansatz schränkt ferner einen Anwendungszugriff auf die Systemressourcen (z. B. Dateien, Netz-Sockets, Peripheriegeräte, Kamera, Benutzerkontakte und Daten) ein, und zwar weit über den eines herkömmlichen Zugriffsgenehmigungsmodells hinaus, indem er erweitert wird, um eine MAC-Strategie zu verwenden.
-
Die hierin beschriebenen Ausführungsformen dienen dem Zuordnen der Anwendungsgenehmigungen zu einer MAC, was zu einer erheblichen Reduzierung der Größe der Basis des vertrauenswürdigen Codes führt. Im Vergleich zu Ansätzen, die direkt auf der MAC-Strategieebene arbeiten, stellt diese Technik den Vorteil bereit, dass sie Strategien auf der Anwendungsgenehmigungsebene formulieren und verwalten kann, auf der die Genehmigungen leichter verwaltet werden können, und wobei die Genehmigungen auf einer viel niedrigeren MAC-Ebene durchgesetzt werden, auf der die Genehmigungen sicherer durchgesetzt werden können. Ohne diese hierin beschriebene Technik ist es nur möglich, eines oder das andere auszuführen, jedoch nicht beide.
-
In 5 ist ein Blockdiagramm zum Installieren einer Anwendung an einer generischen Plattform mit einer MAC-Fähigkeit gezeigt. In Kasten 30 werden Anwendungsgenehmigungen auf hoher Ebene, die für die Anwendung erforderlich sind, identifiziert. In Kasten 31 werden eine existierende Betriebssystemstrategie, wie beispielsweise Security-Enhanced Linux (SELinux), und eine Datei, die die zugelassenen MAC-Regeln enthält, erhalten. SELinux ist ein Linux-Merkmal, das den Mechanismus bereitstellt, um Zugriffskontrollsicherheitsstrategien über die Verwendung von Linux Security Modules (LSM) in dem Linux-Kernel zu unterstützen. Seine Architektur strebt an, die Durchsetzung von Sicherheitsentscheidungen von der Sicherheitsstrategie selbst zu trennen und rationalisiert den Umfang an Software, die mit einer Sicherheitsstrategiedurchsetzung beaufschlagt ist. Das Erhalten von MAC-Regeln und SELinux werden vorab offline durchgeführt. Es muss eine Zuordnung zwischen Anwendungsgenehmigungen auf hoher Ebene und den entsprechenden MAC-Regeln auf niedriger Ebene angewandt werden. Das heißt, für jede Genehmigung auf hoher Ebene, die durch das Plattformbetriebssystem identifiziert wird, wird eine in Verbindung stehende vorbestimmte Zuordnung identifiziert, die sich auf MAC-Regeln für die jeweilige Genehmigung bezieht, wobei ein Prozessor verwendet wird. Es wird eine Manifest-Datei bereitgestellt, die die Genehmigung auf hoher Ebene einer SELinux-MAC-Regel zuordnet, wobei identifiziert wird, welche Privilegien die Genehmigung hat, was auf der MAC-Ebene durchgesetzt wird. Es sei angemerkt, dass die spezifische Technik, wie die Zuordnung bestimmt wird, hierin nicht beschrieben ist, und dass die Erfindung eine beliebige Zuordnungstechnik verwenden kann, die manuell oder autonom konstruiert wird und ermittelt, welche MAC-Regeln einer Genehmigung zugeordnet werden.
-
In Kasten 32 werden die Anwendungsgenehmigungen auf hoher Ebene während einer Online-Verarbeitung auf MAC-Regeln auf niedriger Ebene heruntergebrochen. Ein Softwaremechanismus durchsucht eine Datei, die Genehmigungen enthält, die die Anwendung anfordert (z. B. Genehmigungsabschnitt in der Manifest-Datei). Das System wandelt über den Prozessor jede Genehmigung in der Datei in ihre entsprechende MAC-Regel mit den erforderlichen Details um (z. B. im Fall einer Internetgenehmigung, ob es sich um ein Socket-TCP oder einen UDP-Socket handelt). Daher werden MAC-Regeln zum Definieren, auf welche Kommunikationen, Ports, Einrichtungen sich die spezifischen Genehmigungen beziehen, und zum Definieren anderer Zugriffsdetails für jede Genehmigung identifiziert. Dieser Schritt kann erfordern, dass die geeignete MAC-Kennzeichnung der Prozesse und/oder Anwendungen, denen die neuen Regeln auferlegt werden sollen, durchgesetzt wird. Dieser Schritt kann auch eine Analyse des Anwendungsquellcodes, wenn er bereitgestellt wird, oder eine Analyse des Binärcodes, wenn kein Quellcode bereitgestellt wird, erfordern. Als Option könnte eine Genehmigungssprache auf hoher Ebene weiter erweitert werden, um in den angeforderten Genehmigungen eine zusätzliche Information bereitzustellen, die den Prozess des Zuordnens dieser zu den MAC-Regeln unterstützen würde.
-
Bezüglich einer Anwendung kann, wenn nur wenig Information über die Anwendung bekannt ist, ein allgemeiner Satz von MAC-Regeln für eine jeweilige Genehmigung verwendet werden. Das heißt, je weniger über eine Anwendung bekannt ist (z. B. mehr Möglichkeit, dass sie von einer nicht vertrauenswürdigen Quelle stammen kann oder das Potential besitzen kann, schädlich zu sein), desto mehr Beschränkungen gibt es, die auf die Genehmigung auf der MAC-Ebene anzuwenden sind. Wenn mehr Informationen über die Anwendung bekannt sind, so dass sie vertrauenswürdig ist und leicht zu verstehen ist, dass das Zugreifen auf eine Information aus berechtigten Gründen erfolgt, können die Genehmigungen breiter erteilt werden, wodurch mehr Freiheit zum Zugreifen auf bestimmte Merkmale oder Operationen zugelassen wird. Das Erhalten von Wissen über eine Anwendung kann manuell durch einen Programmierer, der die Manifest-Datei erzeugt, durchgeführt werden, oder kann autonom über Software unter Verwendung anderer Zuordnungstechniken durchgeführt werden.
-
In Kasten 33 wird die MAC-Regel auf niedriger Ebene in einem Modul einer dynamisch ladbaren Strategie kombiniert. Ein Beispiel ist eine Zuordnung einer Internetgenehmigung auf hoher Ebene in der manifest.xml-Datei zu einer jeweiligen SELinux-MAC-Regel, die identifiziert, dass die Anwendung einen Socket erzeugen kann und (in der MAC-Regel) spezifiziert, welcher Typ von SCKET, TCP oder UDP verwendet werden kann, und den zugelassenen Port spezifiziert, der verwendet werden kann. Jede der Genehmigungen auf hoher Ebene wird in MAC-Regeln auf niedriger Ebene übersetzt, und jede der übersetzten Genehmigungen wird in einem Modul einer ladbaren Strategie gebündelt (z. B. einem SELinux-Strategiemodul, das hinsichtlich der SELinux-Strategie aktiviert werden kann, wenn die Anwendung ausgeführt wird).
-
In Schritt 34 wird die Anwendung zusammen mit dem Modul einer ladbaren Strategie installiert. Jedes Mal, wenn die Anwendung ausgeführt wird, wird die Anwendung mit der Strategie ausgeführt, die durch das Strategiemodul der Anwendung auf der MAC-Ebene erweitert wurde.
-
Um zu identifizieren, welches die Genehmigungen für jede Anwendung (z. B. AndroidTM) sind, weist jede eine Manifest-Datei (z. B. AndroidManifest.xml) in ihrem Hauptverzeichnis auf. Das Manifest liefert eine wesentliche Information über die Anwendung an die Betriebssystemplattform. Diese Information muss durch die Betriebssystemplattform empfangen werden, bevor die Anwendung irgendeinen Code der Anwendung ausführen kann. Das Manifest umfasst typischerweise folgendes: (1) die Manifest-Datei benennt das Java-Paket für die Anwendung, wobei der Paketname als eindeutiger Identifikator für die Anwendung dient; (2) die Manifest-Datei beschreibt Komponenten der Anwendung, beispielsweise die Aktivitäten, Dienste, Rundsendungsempfänger und Inhaltsanbieter, aus denen die Anwendung besteht. Die Manifest-Datei benennt auch die Klassen, die jede der Komponenten implementieren, und veröffentlicht ihre Fähigkeiten (z. B. welche Internetnachrichten sie handhaben können). Solche Deklarationen ermöglichen der Betriebssystemplattform, zu wissen, welche die Komponenten sind und unter welchen Bedingungen sie gestartet werden können; (3) die Manifest-Datei bestimmt, welche Prozesse Anwendungskomponenten hosten; (4) die Manifest-Datei deklariert, welche Genehmigungen die Anwendung haben muss, um auf geschützte Teile der API zuzugreifen und mit anderen Anwendungen in Interaktion zu treten; (5) die Manifest-Datei deklariert die Genehmigungen, die andere Anwendungen haben müssen, um mit den Anwendungskomponenten in Interaktion zu treten; (6) die Manifest-Datei listet Instrumentierungsklassen auf, die ein Profiling und andere Informationen bereitstellen, wenn die Anwendung ausgeführt wird (solche Deklarationen können nur in dem Manifest vorhanden sein, während die Anwendung entwickelt und getestet wird, und werden entfernt, bevor die Anwendung veröffentlicht wird); (7) die Manifest-Datei deklariert die Minimumebene der Android-API, die die Anwendung erfordert; (8) die Manifest-Datei listet die Bibliotheken auf, mit denen die Anwendung verlinkt werden muss.
-
Eine Genehmigung ist eine Einschränkung, die einen Zugriff auf einen Teil des Codes oder auf Daten an der Einrichtung einschränkt. Diese Einschränkung wird auferlegt, um kritische Daten und kritischen Code zu schützen, die missbraucht werden könnten, um die Benutzererfahrung zu verzerren oder zu beschädigen.
-
Jede Genehmigung wird durch ein eindeutiges Kennzeichen identifiziert. Das Kennzeichen gibt oftmals die Aktion an, die eingeschränkt wird. Es folgen Beispiele für Genehmigungen (z. B. Genehmigungen für Android):
android.permission.CALL_EMERGENCY_NUMBERS
android.permission.READ_OWNER_DATA
android.permission.SET_WALLPAPER
android.permission.INTERNET
-
Ferner zeigt 6 Beispielanwendungsgenehmigungen und ihre zugehörigen Zugriffsfunktionen, die in einer Manifest-Datei angefordert werden können.
-
Ein Merkmal kann durch zumindest eine Genehmigung geschützt werden. Wenn eine Anwendung Zugriff auf ein durch eine Genehmigung geschütztes Merkmal benötigt, muss die Anwendung mit einem <uses-permission>-Element in dem Manifest deklarieren, dass es diese Genehmigung benötigt. Bei einer Installation der Anwendung an der mobilen Einrichtung ermittelt ein Benutzer, ob die angeforderte Genehmigung gewährt werden soll oder nicht, indem die Autoritäten überprüft werden, die die Anwendungszertifikate signierten, und in einigen Fällen der Benutzer gefragt wird. Wenn die Genehmigung durch den Benutzer gewährt wird, kann die Anwendung die geschützten Merkmale verwenden. Wenn die Genehmigung nicht gewährt wird, schlägt ein Versuch, auf jene Merkmale zuzugreifen, ohne jegliche Benachrichtigung des Benutzers einfach fehl.
-
Eine Anwendung kann auch ihre eigenen Komponenten (Aktivitäten, Dienste, Rundsendungsempfänger und Inhaltsanbieter) mit Genehmigungen schützen. Sie kann jede der Genehmigungen einsetzen, die durch die Betriebssystemplattform definiert sind und in der Manifest-Genehmigungsdatei als durch andere Anwendungen deklariert aufgelistet sind, oder die Anwendung kann ihre eigenen definieren. Eine neue Genehmigung wird mit dem <permission>-Element deklariert. Ein Beispiel für eine Aktivität, die geschützt werden kann, lautet wie folgt:
-
Bei dem obigen Beispiel ist eine DEBIT_ACCT-Genehmigung gezeigt. Die DEBIT_ACCT-Genehmigung wird nicht nur mit dem <permission>-Element deklariert, ihre Verwendung wird auch mit dem <uses-permission>-Element angefordert. Ihre Verwendung muss für andere Komponenten der Anwendung angefordert werden, um die geschützte Aktivität zu starten, auch wenn der Schutz durch die Anwendung selbst auferlegt wird.
-
Bei dem obigen Beispiel wäre es, wenn das Genehmigungsattribut auf eine an anderer Stelle deklarierte Genehmigung gesetzt wurde (z. B. Android.permisssion.CALL.EMERGENCY_NUMBERS), nicht notwendig gewesen, es wieder mit einem <permission>-Element zu deklarieren. Es wäre jedoch immer noch notwendig gewesen, seine Verwendung mit <uses-permission> anzufordern.
-
Ein <permission-tree>-Element deklariert einen Namensraum für eine Gruppe von Genehmigungen, die in dem Code definiert werden. Eine <permission-group> definiert ein Kennzeichen für einen Satz von Genehmigungen, sowohl jene Genehmigungen, die in dem Manifest mit <permission>-Elementen deklariert sind, als auch jene, die an einer anderen Stelle deklariert sind. Dies beeinflusst nur, wie die Genehmigungen gruppiert werden, wenn sie dem Benutzer dargestellt werden. Das <permission-group>-Element spezifiziert nicht, welche Genehmigungen zu der Gruppe gehören; es gibt der Gruppe lediglich einen Namen. Eine jeweilige Genehmigung wird in der Gruppe angeordnet, indem der Gruppenname dem ”permissionGroup”-Attribut des <permission>-Elements zugeordnet wird.
-
Sobald alle Genehmigungen auf hoher Ebene in MAC-Regeln auf niedriger Ebene übersetzt wurden, werden sie alle in einem Modul einer ladbaren Strategie und einem SELinux-Strategiemodul gebündelt, das in der SELinux-Strategie aktiviert werden kann, wenn die Anwendung ausgeführt wird.
-
Das Folgende ist ein Beispiel dafür, wie Genehmigungen auf hoher Ebene entsprechenden MAC-Regeln auf niedriger Ebene zugeordnet werden können. Das Beispiel umfasst eine ”Internet”-Genehmigung auf hoher Ebene in einer Manifest-Datei einer Anwendung und zeigt, wie sie einem Satz von SELinux-MAC-Regeln zugeordnet werden kann, der ermöglicht, dass die Anwendung einen Netz-Socket erzeugt, jedoch die Anwendung nur auf einen spezifischen Typ von Socket und Port einschränkt.
-
Der Auszug ist eine beispielhafte Manifest-Datei für die theoretische Web-Client-Anwendung, die die INTERNET-Genehmigung erfordert, wie in 7 gezeigt. Wenn beispielsweise Android-Genehmigungen verwendet werden, ist die Anwendung ein Web-Client, der die android.permission.INTERNET-Genehmigung mit einem <uses-permission>-Element in dem Manifest anfordert.
-
Die SELinux-MAC-Regeln werden der INTERNET-Genehmigung für eine feinere Zugriffskontrolle zugeordnet. Dies erfolgt, indem gezeigt wird, wie die Anwendung in der SELinux-Strategiesprache definiert ist.
type user_webclient_t, domain, application_domain_type; role user_r types user_webclient_t;
-
Die erste Zeile definiert einen neuen Typ (domain) für den Webclient, user_webclient_t, dem die gleichen Zugriffsattribute zugeordnet werden wie der allgemeineren Klasse domain und dem allgemeineren Typ application_domain_type. Diese sind gemeinsame Attribute, die bei einer großen Vielzahl von Anwendungen verwendet werden. Die zweite Zeile ordnet der Anwendung eine ”Rolle” zu, die für die meisten Benutzermodusanwendungen, user_r, Standard ist und einen weiteren Satz von gemeinsamen Einschränkungen definiert.
-
Als Nächstes wird die Anwendungsverwendung des Netzes wie folgt beschränkt.
type http_port_t, port_type, reserved_port_type;
allow user_webclient_t self:tcp_socket {create {ioctl read getattr write setattr append bind connect getopt setopt shutdown}};
allow user_webclient_t http_port_t:tcp_socket {send_msg recv_msg name_connect};
-
Während die erste Zeile der Anwendung ermöglicht, einen TCP-Netz-Socket zu erzeugen und zu verändern, ermöglicht ihr die zweite Zeile, Pakete an einen/m von vorgesehenen HTTP-Ports zu binden, zu senden und zu empfangen. Dies ist durch http_port_t definiert. Die erste Zeile definiert den HTTP-Port-Typ http_port_t, der die gleichen Attribute aufweist wie der allgemeinere port_type und reserved_port_type. Die tcp_socket-Klasse definiert die an einem TCP-Socket zugelassenen Operationen.
-
Es folgen spezifische Port-Nummern, die durch den http_port_t gesteuert und wie folgt definiert werden:
portcon tcp 80 system_u:object_r:http_port_t
portcon tcp 443 system_u:object_r:http_port_t
portcon tcp 488 system_u:object_r:http_port_t
portcon tcp 8008 system_u:object_r:http_port_t
portcon tcp 8009 system_u:object_r:http_port_t
portcon tcp 8443 system_u:object_r:http_port_t
-
Jede Zeile ordnet einen Sicherheitskontext für das TCP-Protokoll für eine der gemeinsamen Port-Nummern zu, die mit dem HTTP-Protokoll in Verbindung stehen. Das Netzergebnis ist, dass die Webclient-Anwendung auf eine Bindung nur an einen TCP-Socket an einem Port, der mit dem HTTP-Protokoll in Verbindung steht, beschränkt wird.
-
Ferner kann dargestellt werden, wie SELinux-Regeln verwendet werden können, um die Netzverwendung durch die Anwendung weiter zu kontrollieren, wobei jedoch ihr Vermögen eingeschränkt wird, irgendwelche anderen Pakete als jene zu senden und zu empfangen, die als HTTP-Pakete markiert sind.
type http_client_packet_t, packet_type, client_packet_type;
-
Wie oben gezeigt werden die HTTP-Pakete in der SELinux-Strategie als die gleichen Attribute aufweisend wie der allgemeinere packet_type und client_packet_type gekennzeichnet. Die Regel, die die Nutzung solcher Pakete durch die Anwendung beschränkt, lautet wie folgt:
allow user_webclient_t http_client_packet_t:packet {send recv};
-
Wie in der Regel gezeigt ist die Anwendung auf nur das Senden und Empfangen von Paketen beschränkt, die als zu dem identifizierten HTTP-Protokoll gehörend gekennzeichnet wurden.
-
Schließlich werden die Regeln in einem Modul einer ladbaren Strategie kombiniert, welches in 8 gezeigt ist. Das Modul wird zuerst benannt (webclient) und die Definitionen, die an einer anderen Stelle zu definieren sind, werden aufgelistet (gen_require), gefolgt von einem Satz von Definitionen und Regeln, die für die Webclient-Anwendung spezifisch sind.
-
Das hierin beschriebene Framework kann auch eine Sandbox-Umgebung für verschiedene Anwendungen realisieren, die installiert sind, denen jedoch nicht vertraut wird. In einer Sandbox-Umgebung wird die Anwendung installiert und werden ihr unter Verwendung der MAC-Regeln auf niedriger Ebene die Genehmigungsanforderungen auf hoher Ebene übermittelt. Die angeforderten Genehmigungen werden stark eingeschränkt, um sicherzustellen, dass sie keine schädlichen Operationen durchführen. Beispielsweise kann eine Anwendung eine Internetkonnektivität anfordern und auf eine private Information zugreifen, die an einem Telefon gespeichert ist, die Natur der Anwendung rechtfertigt jedoch keine Übertragung einer privaten Information von dem Telefon und über ein Netz. Daher kann dem Strategiemodul eine MAC-Regel für eine Installation an dem Betriebssystem neben der Anwendung hinzugefügt werden, was verhindert, dass die Anwendung jegliche sensiblen Daten (z. B. an dem Telefon gespeicherte Kontakte, Ortsinformationen) liest und abgehende Netzverbindungen initiiert.
-
Wenn jedoch solche Beschränkungen auferlegt werden, besteht die Möglichkeit, dass die Anwendung nicht korrekt funktioniert, auch wenn es berechtigte Gründe zum Ausführen beider eingeschränkter Aktivitäten gibt. Es kann eine weitere Ausführungsform realisiert werden, hierin nachfolgend bezeichnet als ”Sandbox-Agent”, der mit der Anwendung in Interaktion tritt und als Vermittler zwischen der Anwendung und ihrer Außenumgebung agiert. Dann können MAC-Regeln implementiert werden, die nur abgehenden Verkehr von der verdächtigen Anwendung zu dem Sandbox-Agenten zulassen. Das Ermessen liegt bei dem Sandbox-Agenten, zu ermitteln, welcher abgehende Verkehr weitergeleitet werden soll und welcher blockiert werden soll, wodurch die verdächtige Anwendung effektiv von einer Sandbox umgeben wird.
-
Während bestimmte Ausführungsformen der vorliegenden Erfindung ausführlich beschrieben wurden, werden Fachleute, die diese Erfindung betrifft, verschiedene alternative Entwürfe und Ausführungsformen zum Ausführen der Erfindung wie durch die folgenden Ansprüche definiert erkennen.
