Android 4.3 und CyanogenMod mit SELinux
Android 4.3 enthält die Sicherheitserweiterung SELinux. Auch die CyanogenMod-Entwickler haben SELinux bereits integriert.
Neben vielen anderen Neuerungen bringt Android 4.3 auch Verbesserungen im Bereich Sicherheit. Größter Brocken ist SELinux, eine Sicherheitserweiterung, die eine Mandatory Access Control (MAC) im Kernel implementiert (siehe auch den Artikel Sicherheitserweiterungen für Linux). Ein Satz von SELinux-Regeln legt dabei im Detail fest, auf welche Objekte (Dateien, Hardwarekomponenten, Netzwerkports) ein Prozess (sprich: eine App) zugreifen darf.
SELinux soll zukünftig das Sandbox-Konzept von Android stärken, das Apps voneinander trennt und bislang vor allem darauf beruht, dass jede App unter einem eigenen Benutzeraccount läuft. Da die SELinux-Mechanismen unabhängig von Benutzerrechten arbeiten, sind sie selbst dann noch wirksam, wenn sich ein Prozess aufgrund einer Sicherheitslücke Root-Rechte verschaffen kann.
Die CyanogenMod-Entwickler haben bereits vergangene Woche damit begonnen, SELinux in die aktuelle CM-Version 10.1 auf Basis von Android 4.2 zu integrieren. Wie bei Android 4.3 läuft SELinux in den aktuellen Nightly Builds im Permissive Mode: Verletzungen der SELinux-Regeln werden lediglich protokolliert, nicht aber unterbunden. Die Entwickler wollen so Erfahrungen sammeln, um ihr SELinux-Regelwerk anzupassen; CyanogenMod-Anwender merken von SELinux nichts.
SELinux wurde ursprünglich von der NSA entwickelt; der Quellcode ist als Open Source offengelegt und wurde bereits mehrfach auf Hintertüren untersucht. Mittlerweile gehört Red Hat zu den treibenden Kräften der SELinux-Entwicklung. SELinux ist in Red Hat Enterprise Linux (RHEL) und Red Hats Community-Distribution Fedora aktiv und unterbindet standardmäßig im Enforcing-Modus Verletzungen der SELinux-Regeln. (odi)
