Я знаю оApparmorи, в частности, как это можно использоватьпределправа доступа программы, которые в противном случае допускают разрешения файловой системы. Что мне менее ясно, так это то, может ли Apparmor или любой подобный модуль безопасности полностью переопределить права доступа программы. Могут ли онигрантпрограммный доступ для чтения/записи/выполнения файлов, к которым у пользователя в противном случае нет доступа.
Я спрашиваю о том, что ядро Linux позволит делать такому модулю безопасности, а не о том, на какие действия можно настроить существующие модули безопасности.
Могут ли модули безопасности полностью переопределить модель доступа ядра Linux?
решение1
Кажется, об этом не упоминаетсядокументация LSM ядра, но нет, модули безопасности не могут полностью переопределить модель доступа ядра, они дополняют ее.
Например, проверки перед исполнением включают в себя те, которые указаны вdo_open_execat, который проверяет разрешения; LSM-хуки вызываются позже (ищите security_). Другие примеры включают все функции вfs/namei.cкоторые вызывают функции типаmay_deleteперед соответствующими хуками LSM.