第 6 章 TrustedBSD MAC 框架

优质

小牛编辑

127浏览

2023-12-01

6.1. MAC 文档版权声明

本文档是作为 DARPA CHATS 研究计划的一部分，由供职于 Security Research Division of Network Associates 公司Safeport Network Services and Network Associates Laboratories 的Chris Costello依据 DARPA/SPAWAR 合同 N66001-01-C-8035 (“CBOSS”)，为 FreeBSD 项目编写的。

Redistribution and use in source (SGML DocBook) and 'compiled' forms (SGML, HTML, PDF, PostScript, RTF and so forth) with or without modification, are permitted provided that the following conditions are met:

Redistributions of source code (SGML DocBook) must retain the above copyright notice, this list of conditions and the following disclaimer as the first lines of this file unmodified.
Redistributions in compiled form (transformed to other DTDs, converted to PDF, PostScript, RTF and other formats) must reproduce the above copyright notice, this list of conditions and the following disclaimer in the documentation and/or other materials provided with the distribution.

重要:

THIS DOCUMENTATION IS PROVIDED BY THE NETWORKS ASSOCIATES TECHNOLOGY, INC "AS IS" AND ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE DISCLAIMED. IN NO EVENT SHALL NETWORKS ASSOCIATES TECHNOLOGY, INC BE LIABLE FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE OF THIS DOCUMENTATION, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE.

重要:

本文中许可证的非官方中文翻译仅供参考，不作为判定任何责任的依据。如与英文原文有出入，则以英文原文为准。

在满足下列许可条件的前提下，允许再分发或以源代码 (SGML DocBook) 或 “编译” (SGML, HTML, PDF, PostScript, RTF 等) 的经过修改或未修改的形式：

再分发源代码 (SGML DocBook) 必须不加修改的保留上述版权告示、本条件清单和下述弃权书作为该文件的最先若干行。
再分发编译的形式 (转换为其它DTD、 PDF、 PostScript、 RTF 或其它形式)，必须将上述版权告示、本条件清单和下述弃权书复制到与分发品一同提供的文件，以及其它材料中。

重要:

本文档由 NETWORKS ASSOCIATES TECHNOLOGY, INC “按现状条件”提供，并在此明示不提供任何明示或暗示的保障，包括但不限于对商业适销性、对特定目的的适用性的暗示保障。任何情况下， NETWORKS ASSOCIATES TECHNOLOGY, INC 均不对任何直接、间接、偶然、特殊、惩罚性的，或必然的损失 (包括但不限于替代商品或服务的采购、使用、数据或利益的损失或营业中断) 负责，无论是如何导致的并以任何有责任逻辑的，无论是否是在本文档使用以外以任何方式产生的契约、严格责任或是民事侵权行为(包括疏忽或其它)中的，即使已被告知发生该损失的可能性。

6.2. 术语解析

FreeBSD 以一个内核安全扩展性框架(TrustedBSD MAC 框架)的方式，为若干强制访问控制策略（也称“集权式访问控制策略”）提供试验性支持。MAC 框架是一个插入式的访问控制框架，允许新的安全策略更方便地融入内核:安全策略可以静态链入内核,也可以在引导时加载,甚至在运行时动态加载。该框架所提供的标准化接口,使得运行在其上的安全策略模块能对系统对象的安全属性进行诸如标记等一系列操作。 MAC 框架的存在，简化了这些操作在策略模块中的实现，从而显著降低了新安全策略模块的开发难度。

本章将介绍 MAC 策略框架，为读者提供一个示例性的 MAC 策略模块文档。

6.3. 概述

TrustedBSD MAC 框架提供的机制,允许在其上运行的内核模块在内核编译或者运行时，对内核的访问控制模型进行扩展。新的系统安全策略作为一个内核模块实现,并被链接到内核中；如果系统中同时存在多个安全策略模块，则它们的决策结果将以某种确定的方式组合。为了给简化新安全策略的开发，MAC 向上提供了大量用于访问控制的基础设施，特别是，对临时的或者持久的、策略无关的对象安全标记的支持。该支持目前仍是试验性质的。

本章所提供的信息不仅将使在 MAC 使能环境下工作的潜在用户受益，也可以为需要了解 MAC 框架是如何支持对内核访问控制进行扩展的策略模块开发人员所用。

6.4. 安全策略背景知识

强制访问控制（简称 MAC），是指由操作系统强制实施的一组针对用户的访问控制策略。在某些情况下,强制访问控制的策略可能会与自主访问控制（简称 DAC）所提供的保护措施发生冲突，后者是用来向非管理员用户对数据采取保护措施提供支持的。在传统的 UNIX 系统中， DAC 保护措施包括文件访问模式和访问控制列表；而 MAC 则提供进程控制和防火墙等。操作系统设计者和安全机制研究人员对许多经典的 MAC 安全策略作了形式化的表述，比如，多级安全（MLS)机密性策略，Biba 完整性策略，基于角色的访问控制策略（RBAC），域和型裁决策略(DTE),以及型裁决策略(TE)。安全策略的形式化表述被称为安全模型。每个模型根据一系列条件做出安全相关的决策，这些条件包括，用户的身份、角色和安全信任状，以及对象的安全标记(用来代表该对象数据的机密性/完整性级别)。

TrustedBSD MAC 框架所提供的对策略模块的支持，不仅可以用来实现上述所有策略，还能用于实现其他利用已有安全属性(如，用户和组ID、文件扩展属性等）决策的系统安全强化策略。此外，因为具体策略模块在访问授权方面所拥有的高度灵活性和自主性，所以MAC 框架同样可以用来实现完全自主式的安全策略.

6.5. MAC 框架的内核体系结构

TrustedBSD MAC 框架为大多数的访问控制模块提供基本设施，允许它们以内核模块的形式灵活地扩展系统中实施的安全策略。如果系统中同时加载了多个策略，MAC 框架将负责将各个策略的授权结果以一种（某种程度上）有意义的方式组合，形成最后的决策。

6.5.1. 内核元素

MAC 框架由下列内核元素组成：

框架管理接口
并发与同步原语
策略注册
内核对象的扩展性安全标记
策略入口函数的组合操作
标记管理原语
由内核服务调用的入口函数 API
策略模块的入口函数 API
入口函数的实现（包括策略生命周期管理、标记管理和访问控制检查三部分）
管理策略无关标记的系统调用
复用的mac_syscall() 系统调用
以 MAC 的策略加载模块形式实现的各种安全策略

6.5.2. 框架管理接口

对 TrustedBSD MAC 框架进行直接管理的方式有三种:通过 sysctl 子系统、通过 loader 配置, 或者使用系统调用。

多数情况下，与同一个内核内部变量相关联的 sysctl 变量和 loader 参数的名字是相同的，通过设置它们，可以控制保护措施的实施细节，比如，某个策略在各个内核子系统中的实施与否等等。另外，如果在内核编译时选择支持 MAC 调试选项，内核将维护若干计数器以跟踪标记的分配使用情况。通常不建议在实用环境下通过在不同子系统上设置不同的变量或参数来实施控制，因为这种方法将会作用于系统中所有的活跃策略。如果希望对具体策略实施管理而不相影响其他活跃策略,则应当使用策略级别的控制，因为这种方法的控制粒度更细，并能更好地保证策略模块的功能一致性。

与其他内核模块一样，系统管理员可以通过系统的模块管理系统调用和其他系统接口，包括 boot loader 变量，对策略模块执行加载与卸载操作；策略模块可以在加载时,设置加载标志,来指示系统对其加载、卸载操作进行相应控制，比如阻止非期望的卸载操作。

6.5.3. 策略链表的并发与同步

在运行时,系统中活跃的策略集合可能发生变化，然而对策略入口函数的使用操作并不是原子性的，因此，当某一个入口函数正被使用时，系统需要提供额外的同步机制来阻止对该策略模块的加载与卸载，以确保当前活跃的策略集合不会在此过程中发生改变。通过使用"框架忙”计数器,就可以做到这一点：一旦某个入口函数被调用，计数器的值被增加1；而每当一个入口函数调用结束时，计数器的值被减少1。检查计数器的值，如果其值为正，框架将阻止对策略链表的修改操作，请求操作的线程将被迫进入睡眠，直到计数器的值重新减少到0为止。计数器本身由一个互斥锁保护，同时结合一个条件变量(用于唤醒等待对策略链表进行修改操作的睡眠线程)。采用这种同步模型的一个副作用是，在同一个策略模块内部，允许嵌套地调用框架，不过这种情况其实很少出现。

为了减少由于采用计数器引入的额外开销，设计者采用了各种优化措施。其中包括，当策略链表为空或者其中仅含有静态表项（那些只能在系统运行之前加载而且不能动态卸载的策略）时，框架不对计数器进行操作，其值总是为0，从而将此时的同步开销减到0。另一个极端的办法是，使用一个编译选项来禁止在运行时对加载的策略链表进行修改，此时不再需要对策略链表的使用进行同步保护。

因为 MAC 框架不允许在某些入口函数之内阻塞，所以不能使用普通的睡眠锁。故而，加载或卸载操作可能会为等待框架空闲而被阻塞相当长的一段时间。

6.5.4. 标记同步

MAC 框架必须对其负责维护的安全属性标记的存储访问提供同步保护。下列两种情形，可能导致对安全属性标记的不一致访问：第一，作为安全属性标记的持有者，内核对象本身可能同时被多个线程访问；第二，MAC 框架代码是可重入的，即允许多个线程同时在框架内执行。通常，MAC 框架使用内核对象数据上已有的内核同步机制来保护该其上附加的 MAC 安全标记。例如，套接字上的 MAC 标记由已有的套接字互斥锁保护。类似的，对于安全标记的并发访问的过程与对其所在对象进行的并发访问在语义上是一样的，例如，信任状安全标记,将保持与该数据结构中其他内容一致的"写时复制"的更新过程。 MAC 框架在引用一个内核对象时，将首先对访问该对象上的标记需要用到的锁进行断言。策略模块的编写者必须了解这些同步语义，因为它们可能会限制对安全标记所能进行的访问类型。举个例子，如果通过入口函数传给策略模块的是对某个信任状的只读引用，那么在策略内部，只能读该结构对应的标记状态。

6.5.5. 策略间的同步与并发

FreeBSD 内核是一个可抢占式的内核，因此，作为内核一部分的策略模块也必须是可重入的，也就是说，在开发策略模块时必须假设多个内核线程可以同时通过不同的入口函数进入该模块。如果策略模块使用可被修改的内核状态，那么还需要在策略内部使用恰当的同步原语，确保在策略内部的多个线程不会因此观察到不一致的内核状态，从而避免由此产生的策略误操作。为此，策略可以使用 FreeBSD 现有的同步原语，包括互斥锁、睡眠锁、条件变量和计数信号量。对这些同步原语的使用必须慎重，需要特别注意两点：第一，保持现有的内核上锁次序；第二，在非睡眠的入口函数之内不要使用互斥锁和唤醒操作。

为避免违反内核上锁次序或造成递归上锁，策略模块在调用其他内核子系统之前，通常要释放所有在策略内部申请的锁。这样做的结果是，在全局上锁次序形成的拓朴结构中，策略内部的锁总是作为叶子节点，从而保证了这些锁的使用不会导致由于上锁次序混乱造成的死锁。

6.5.6. 策略注册

为了记录当前使用的策略模块集合，MAC 框架维护两个链表：一个静态链表和一个动态链表。两个链表的数据结构和操作基本相同，只是动态链表还额外使用了一个"引用计数"以同步对其的访问操作。当包含 MAC 框架策略的内核模块被加载时，该策略模块会通过 SYSINIT 调用一个注册函数；相对应的，每当一个策略模块被卸载，SYSINIT 也会调用一个注销函数。只有当遇到下列情况之一时，注册过程才会失败：一个策略模块被加载多次，或者系统资源不足不能满足注册过程的需要（例如，策略模块需要对内核对象添加标记而可用资源不足），或者其他的策略加载前提条件不满足（有些策略要求只能在系统引导之前加载）。类似的，如果一个策略被标记为不可卸载的，对其调用注销过程将会失败。

6.5.7. 入口函数

内核服务与 MAC 框架之间进行交互有两种途径：一是，内核服务调用一系列 API 通知 MAC 框架安全事件的发生；二是，内核服务向 MAC 框架提供一个指向安全对象的策略无关安全标记数据结构的指针。标记指针由 MAC 框架经由标记管理入口函数进行维护，并且，只要对管理相关对象的内核子系统稍作修改，就可以允许 MAC 框架向策略模块提供标记服务。例如，在进程、进程信任状、套接字、管道、Mbuf、网络接口、IP 重组队列和其他各种安全相关的数据结构中均增加了指向安全标记的指针。另外，当需要做出重要的安全决策时，内核服务也会调用 MAC 框架，以便各个策略模块根据其自己的标准（可以使用存储在安全标记中的数据）完善这些决策。绝大多数安全相关的关键决策是显式的访问控制检查；也有少数涉及更加一般的决策函数，比如，套接字的数据包匹配和程序执行时刻的标记转换。

6.5.8. 策略组合

如果内核中同时加载了多个策略模块，这些策略的决策结果将由框架使用一个合成运算子来进行组合汇总，得出最终的结果。目前，该算子是硬编码的，并且只有当所有的活跃策略均对请求表示同意时才会返回成功。由于各个策略返回的出错条件可能并不相同（成功、访问被拒绝、请求对象不存在等等），需要使用一个选择子先从各个策略返回的错误条件集合中选择出一个作为最终返回结果。一般情况下，与“访问被拒绝”相比，将更倾向于选择“请求对象不存在”。尽管不能从理论上保证合成结果的有效性与安全性，但试验结果表明，对于许多实用的策略集合来说，事实的确如此。例如，传统的可信系统常常采用类似的方法对多个安全策略进行组合。

6.5.9. 标记支持

与许多需要给对象添加安全标记的访问控制扩展一样，MAC 框架为各种用户可见的对象提供了一组用于管理策略无关标记的系统调用。常用的标记类型有，partition标识符、机密性标记、完整性标记、区间（非等级类别）、域、角色和型。 “策略无关”的意思是指，标记的语法与使用它的具体策略模块无关，而同时策略模块能够完全独立地定义和使用与对象相关联的元数据的语义。用户应用程序提供统一格式的基于字符串的标记，由使用它的策略模块负责解析其内在含义并决定其外在表示。如果需要，应用程序可以使用多重标记元素。

内存中的标记实例被存放在由 slab 分配的struct label数据结构中。该结构是一个固定长度的数组，每个元素是由一个 void * 指针和一个 long组成的联合结构。申请标记存储的策略模块在向 MAC 注册时，将被分配一个“slot”值，作为框架分配给其使用的策略标记元素在整个标记存储结构中的位置索引。而所分配的存储空间的语义则完全由该策略模块来决定：MAC 框架向策略模块提供了一系列入口函数用于对内核对象生命周期的各种事件进行控制，包括，对象的初始化、标记的关联/创建和对象的注销。使用这些接口，可以实现诸如访问计数等存储模型。 MAC 框架总是给入口函数传入一个指向相关对象的指针和一个指向该对象标记的指针，因此，策略模块能够直接访问标记而无需知悉该对象的内部结构。唯一的例外是进程信任状结构，指向其标记的指针必须由策略模块手动解析计算。今后的 MAC 框架实现可能会对此进行改进。

初始化入口函数通常有一个睡眠标志位，用来表明一个初始化操作是否允许中途睡眠等待；如果不允许，则可能会失败返回，并要求撤销此次标记分配操作（乃至对象分配操作）。例如，如果在网络栈上处理中断时因为不允许睡眠或者调用者持有一个互斥锁，就可能出现这种情况。考虑到在处理中的网络数据包（Mbufs）上维护标记的性能损失太大，策略必须就自己对 Mbuf 进行标记的要求向 MAC 框架做出特别声明。动态加载到系统中而又使用标记的策略必须为处理未被其初始化函数处理过的对象作好准备，这些对象在策略加载之前就已经存在,故而无法在初始化时调用策略的相关函数进行处理。 MAC 框架向策略保证，没有被初始化的标记 slot 的值必为0或者 NULL，策略可以借此检测到未初始化的标记。需要注意的是，因为对 Mbuf 标记的存储分配是有条件的，因此需要使用其标记的动态加载策略还可能需要处理 Mbuf 中值为 NULL 的标记指针。

对于文件系统对象的标记，MAC 框架在文件的扩展属性中为其分配永久存储。只要可能，扩展属性的原子化的事务操作就被用于保证对 vnode 上安全标记的复合更新操作的一致性－－目前，该特性只被 UFS2 文件系统支持。为了实现细粒度的文件系统对象标记（即每个文件系统对象一个标记），策略编写者可能选择使用一个（或者若干）扩展属性块。为了提高性能， vnode 数据结构中有一个标记 (v_label)字段，用作磁盘标记的缓冲； vnode 结构实例化时，策略可以将标记值装入该缓冲，并在需要时对其进行更新。如此，不必在每次进行访问控制检查时，均无条件地访问磁盘上的扩展属性。

注意:

目前，如果一个使用标记的策略允许被动态卸载，则卸载该模块之后,其状态 slot 尚无法被系统回收重用，由此导致了 MAC 框架对标记策略卸载－重载操作数目上的严格限制。

6.5.10. 相关系统调用

MAC 框架向应用程序提供了一组系统调用：其中大多数用于向进行查询和修改策略无关标记操作的应用 API提供支持。

这些标记管理系统调用，接受一个标记描述结构， struct mac，作为输入参数。这个结构的主体是一个数组，其中每个元素包含了一个应用级的 MAC 标记形式。每个元素又由两部分组成:一个字符串名字，和其对应的值。每个策略可以向系统声明一个特定的元素名字，这样一来，如果需要，就可以将若干个相互独立的元素作为一个整体进行处理。策略模块经由入口函数，在内核标记和用户提供的标记之间作翻译转换的工作，这种实现提供了标记元素语义上的高度灵活性。标记管理系统调用通常有对应的库函数包装，这些包装函数可以提供内存分配和错误处理功能，从而简化了用户应用程序的标记管理工作。

目前的FreeBSD 内核提供了下列 MAC 相关的系统调用：

mac_get_proc() 用于查询当前进程的安全标记。
mac_set_proc() 用于请求改变当前进程的安全标记。
mac_get_fd() 用于查询由文件描述符所引用的对象（文件、套接字、管道文件等等）的安全标记。
mac_get_file() 用于查询由文件系统路径所描述的对象的安全标记。
mac_set_fd() 用于请求改变由文件描述符所引用的对象（文件、套接字、管道文件等等）的安全标记。
mac_set_file() 用于请求改变由文件系统路径所描述的对象的安全标记。
mac_syscall() 通过复用该系统调用,策略模块能够在不修改系统调用表的前提下创建新的系统调用；其调用参数包括：目标策略名字、操作编号和将被该策略内部使用的参数。
mac_get_pid() 用于查询由进程号指定的另一个进程的安全标记。
mac_get_link() 与 mac_get_file() 功能相同，只是当路径参数的最后一项为符号链接时，前者将返回该符号链接的安全标记，而后者将返回其所指文件的安全标记。
mac_set_link() 与 mac_set_file() 功能相同，只是当路径参数的最后一项为符号链接时，前者将设置该符号链接的安全标记，而后者将设置其所指文件的安全标记。
mac_execve() 与 execve() 功能类似，只是前者还可以在开始执行一个新程序时,根据传入的请求参数,设置执行进程的安全标记。由于执行一个新程序而导致的进程安全标记的改变,被称为“转换”。
mac_get_peer()，通过一个套接字选项自动实现，用于查询一个远程套接字对等实体的安全标记。

除了上述系统调用之外，也可以通过 SIOCSIGMAC 和 SIOCSIFMAC 网络接口的 ioctl 类系统调用来查询和设置网络接口的安全标记。

6.6. MAC策略模块体系结构

安全策略可以直接编入内核，也可以编译成独立的内核模块，在系统引导时或者运行时使用模块加载命令加载。策略模块通过一组预先定义好的入口函数与系统交互。通过它们，策略模块能够掌握某些系统事件的发生，并且在必要的时候影响系统的访问控制决策。每个策略模块包含下列组成部分：

可选：策略配置参数
策略逻辑和参数的集中实现
可选：策略生命周期事件的实现，比如，策略的初始化和销毁
可选：对所选内核对象的安全标记进行初始化、维护和销毁的支持
可选：对所选对象的使用进程进行监控以及修改对象安全标记的支持
策略相关的访问控制入口函数的实现
对策略标志、模块入口函数和策略特性的声明

6.6.1. 策略注销

策略模块可以使用 MAC_POLICY_SET() 宏来声明。该宏完成以下工作：为该策略命名（向系统声明该策略提供的名字）；提交策略定义的 MAC 入口函数向量的地址；按照策略的要求设置该策略的加载标志位，保证 MAC 框架将以策略所期望的方式对其进行操作；另外，还可能请求框架为策略分配标记状态 slot 值。

static struct mac_policy_ops mac_policy_ops =
{
.mpo_destroy = mac_policy_destroy,
.mpo_init = mac_policy_init,
.mpo_init_bpfdesc_label = mac_policy_init_bpfdesc_label,
.mpo_init_cred_label = mac_policy_init_label,
/* ... */
.mpo_check_vnode_setutimes = mac_policy_check_vnode_setutimes,
.mpo_check_vnode_stat = mac_policy_check_vnode_stat,
.mpo_check_vnode_write = mac_policy_check_vnode_write,
};

如上所示，MAC 策略入口函数向量，mac_policy_ops，将策略模块中定义的功能函数挂接到特定的入口函数地址上。在稍后的“入口函数参考”小节中，将提供可用入口函数功能描述和原型的完整列表。与模块注册相关的入口函数有两个：.mpo_destroy和.mpo_init。当某个策略向模块框架注册操作成功时，.mpo_init将被调用，此后其他的入口函数才能被使用。这种特殊的设计使得策略有机会根据自己的需要，进行特定的分配和初始化操作，比如对特殊数据或锁的初始化。卸载一个策略模块时，将调用 .mpo_destroy 用来释放策略分配的内存空间或注销其申请的锁。目前，为了防止其他入口函数被同时调用，调用上述两个入口函数的进程必须持有 MAC 策略链表的互斥锁：这种限制将被放开，但与此同时，将要求策略必须谨慎使用内核原语,以避免由于上锁次序或睡眠造成死锁。

之所以向策略声明提供模块名字域，是为了能够唯一标识该模块，以便解析模块依赖关系。选择使用恰当的字符串作为名字。在策略加载和卸载时，策略的完整字符串名字将经由内核日志显示给用户。另外，当向用户进程报告状态信息时也会包含该字符串。

6.6.2. 策略标志

在声明时提供标志参数域的机制，允许策略模块在作为模块被加载时，就自身特性向 MAC 框架提供说明。目前，已经定义的标志有三个：

MPC_LOADTIME_FLAG_UNLOADOK: 表示该策略模块可以被卸载。如果未提供该标志，则表示该策略模块拒绝被卸载。那些使用安全标记的状态，而又不能在运行时释放该状态的模块可能会设置该标志。
MPC_LOADTIME_FLAG_NOTLATE: 表示该策略模块必须在系统引导过程时进行加载和初始化。如果该标志被设置，那么在系统引导之后注册该模块的请求将被 MAC 框架所拒绝。那些需要为大范围的系统对象进行安全标记初始化工作，而又不能处理含有未被正确初始化安全标记的对象的策略模块可能会设置该标志。
MPC_LOADTIME_FLAG_LABELMBUFS: 表示该策略模块要求为 Mbuf 指定安全标记，并且为存储其标记所需的内存空间总是提前分配好的。缺省情况下，MAC 框架并不会为 Mbuf 分配标记存储，除非系统中注册的策略模块中至少有一个设置了该标志。这种做法在没有策略需要对 Mbuf 做标记时，显著地提升了系统网络性能。另外，在某些特殊环境下，可以通过设置内核选项， MAC_ALWAYS_LABEL_MBUF，强制 MAC 框架为 Mbuf 的安全标记分配存储，而不论上述标志如何设置。

注意:

那些使用了 MPC_LOADTIME_FLAG_LABELMBUFS 标志但没有设置 MPC_LOADTIME_FLAG_NOTLATE 标志的策略模块必须能够正确地处理通过入口函数传入的值为 NULL 的 Mbuf 安全标记指针。这是因为那些没有分配标记存储的处理中的 Mbuf 在一个需要 Mbuf 安全标记的策略模块加载之后，其安全标记的指针将仍然为空。如果策略在网络子系统活跃之前被加载（即，该策略不是被推迟加载的），那么所有的 Mbuf 的标记存储的分配就可以得到保证。

6.6.3. 策略入口函数

MAC 框架为注册的策略提供四种类型的入口函数：策略注册和管理入口函数；用于处理内核对象声明周期事件，如初始化、创建和销毁，的入口函数；处理该策略模块感兴趣的访问控制决策事件的入口函数；以及用于管理对象安全标记的调用入口函数。此外，还有一个 mac_syscall() 入口函数，被策略模块用于在不注册新的系统调用的前提下，扩展内核接口。

策略模块的编写人员除了必须清楚在进入特定入口函数之后，哪些对象锁是可用的之外，还应该熟知内核所采用的加锁策略。编程人员在入口函数之内应该避免使用非叶节点锁，并且遵循访问和修改对象时的加锁规程，以降低导致死锁的可能性。特别地，程序员应该清楚，虽然在通常情况下，进入入口函数之后，已经上了一些锁，可以安全地访问对象及其安全标记，但是这并不能保证对它们进行修改（包括对象本身和其安全标记）也是安全的。相关的上锁信息，可以参考 MAC 框架入口函数的相关文档。

策略入口函数把两个分别指向对象本身和其安全标记的指针传递给策略模块。这样一来，即使策略并不熟悉对象内部结构，也能基于标记作出正确决策。只有进程信任状这个对象例外：MAC 框架总是假设所有的策略模块是理解其内部结构的。

6.7. MAC策略入口函数参考

6.7.1. 通用的模块入口函数

6.7.1.1. `mpo_init`

void mpo_init( conf);

struct mac_policy_conf *conf;

参数	说明	锁定
`conf`	MAC 策略定义

策略加载事件。当前进程正持有策略链表上的互斥锁，因此是非睡眠的，对其他内核子系统的调用也须慎重。如果需要在策略初始化阶段进行可能造成睡眠阻塞的存储分配操作，可以将它们放在一个单独的模块 SYSINIT() 过程中集中进行。

6.7.1.2. `mpo_destroy`

void mpo_destroy( conf);

struct mac_policy_conf *conf;

参数	说明	锁定
`conf`	MAC 策略定义

策略加载事件。必须持有策略链表互斥锁，因此需要慎重行事。

6.7.1.3. `mpo_syscall`

`int mpo_syscall(`	`td`,
	`call`,
	`arg)`;

struct thread *td;
int call;
void *arg;

参数	说明	锁定
`td`	调用线程
`call`	策略特有的系统调用编号
`arg`	系统调用参数的指针

该入口函数提供策略复用的系统调用，这样策略模块不需要为其向用户进程提供的每一个额外服务而注册专用的系统调用。由应用程序提供的策略注册名字来确定提供其所申请服务的特定策略，所有参数将通过该入口函数传递给被调用的策略。当实现新服务时，安全模块必须在必要时通过 MAC 框架调用相应的访问控制检查机制。比方说，假如一个策略实现了某种额外的信号功能，那么它应该调用相关的信号访问控制检查，以接受 MAC 框架中注册的其他策略的检查。

注意:

不同的模块需要并发地手动进行copyin()拷贝系统调用数据。

6.7.1.4. `mpo_thread_userret`

void mpo_thread_userret( td);

struct thread *td;

参数	说明	锁定
`td`	返回线程

使用该入口函数，策略模块能够在线程返回用户空间时（系统调用返回、异常返回等等）进行 MAC 相关的处理工作。使用动态进程标记的策略需要使用该入口函数，因为在处理系统调用的过程中，并不是在任意时刻都能申请到进程锁的；进程的标记可能表示传统的认证信息、进程历史记录或者其他数据。为使用该入口函数，对进程信任状所作的修改可能被存放在 p_label ,该域受一个进程级自旋锁的保护；接下来，设置线程级的TDF_ASTPENDING 标志位和进程级的PS_MACPENDM标志位，表明将调度一个对 userret 入口函数的调用。通过该入口函数，策略可以在相对简单的同步上下文中创建信任状的替代品。策略编程人员必须清楚，需要保证与调度一个 AST 相关的事件执行次序，同时所执行的 AST 可能很复杂，而且在处理多线程应用程序时可能被重入。

6.7.2. 操作标记

6.7.2.1. `mpo_init_bpfdesc_label`

void mpo_init_bpfdesc_label( label);

struct label *label;

参数	说明	锁定
`label`	将被应用的新标记

为一个新近实例化的 bpfdesc（BPF 描述子）初始化标记。可以睡眠。

6.7.2.2. `mpo_init_cred_label`

void mpo_init_cred_label( label);

struct label *label;

参数	说明	锁定
`label`	将被初始化的新标记

为一个新近实例化的用户信任状初始化标记。可以睡眠。

6.7.2.3. `mpo_init_devfsdirent_label`

void mpo_init_devfsdirent_label( label);

struct label *label;

参数	说明	锁定
`label`	将被应用的新标记

为一个新近实例化的 devfs　表项初始化标记。可以睡眠。

6.7.2.4. `mpo_init_ifnet_label`

void mpo_init_ifnet_label( label);

struct label *label;

参数	说明	锁定
`label`	将被应用的新标记

为一个新近实例化的网络接口初始化标记。可以睡眠。

6.7.2.5. `mpo_init_ipq_label`

`void mpo_init_ipq_label(`	`label`,
	`flag)`;

struct label *label;
int flag;

参数	说明	锁定
`label`	将被应用的新标记
`flag`	睡眠/不睡眠 malloc(9); 参见下文

为一个新近实例化的 IP 分片重组队列初始化标记。其中的flag域可能取M_WAITOK 或M_NOWAIT之一，用来避免在该初始化调用中因为 malloc(9) 而进入睡眠。IP 分片重组队列的分配操作通常是在对性能有严格要求的环境下进行的，因此实现代码必须小心地避免睡眠和长时间的操作。IP 分片重组队列分配操作失败时上述入口函数将失败返回。

6.7.2.6. `mpo_init_mbuf_label`

`void mpo_init_mbuf_label(`	`flag`,
	`label)`;

int flag;
struct label *label;

参数	说明	锁定
`flag`	睡眠/不睡眠 malloc(9); 参见下文
`label`	将被初始化的策略标记

为一个新近实例化的 mbuf 数据包头部（mbuf）初始化标记。其中的flag的值可能取M_WAITOK和M_NOWAIT之一，用来避免在该初始化调用中因为 malloc(9) 而进入睡眠。Mbuf 头部的分配操作常常在对性能有严格要求的环境下被频繁执行，因此实现代码必须小心地避免睡眠和长时间的操作。上述入口函数在 Mbuf 头部分配操作失败时将失败返回。

6.7.2.7. `mpo_init_mount_label`

`void mpo_init_mount_label(`	`mntlabel`,
	`fslabel)`;

struct label *mntlabel;
struct label *fslabel;

参数	说明	锁定
`mntlabel`	将被初始化的mount 结构策略标记
`fslabel`	将被初始化的文件系统策略标记

为一个新近实例化的 mount 点初始化标记。可以睡眠。

6.7.2.8. `mpo_init_mount_fs_label`

void mpo_init_mount_fs_label( label);

struct label *label;

参数	说明	锁定
`label`	将被初始化的标记

为一个新近加载的文件系统初始化标记。可以睡眠。

6.7.2.9. `mpo_init_pipe_label`

void mpo_init_pipe_label( label);

struct label*label;

参数	说明	锁定
`label`	将被填写的标记

为一个刚刚实例化的管道初始化安全标记。可以睡眠。

6.7.2.10. `mpo_init_socket_label`

`void mpo_init_socket_label(`	`label`,
	`flag)`;

struct label *label;
int flag;

参数	说明	锁定
`label`	将被初始化的新标记
`flag`	malloc(9) flags

为一个刚刚实例化的套接字初始化安全标记。其中的 flag 域的值必须被指定为 M_WAITOK和M_NOWAIT之一，以避免在该初始化程中使用可能睡眠的malloc(9) 。

6.7.2.11. `mpo_init_socket_peer_label`

`void mpo_init_socket_peer_label(`	`label`,
	`flag)`;

struct label *label;
int flag;

参数	说明	锁定
`label`	将被初始化的新标记
`flag`	malloc(9) flags

为刚刚实例化的套接字对等体进行标记的初始化。其中的 flag 域的值必须被指定为 M_WAITOK 和 M_NOWAIT 之一，以避免在该初始化程中使用可能睡眠的 malloc(9)。

6.7.2.12. `mpo_init_proc_label`

void mpo_init_proc_label( label);

struct label *label;

参数	说明	锁定
`label`	将被初始化的新标记

为一个刚刚实例化的进程初始化安全标记。可以睡眠。

6.7.2.13. `mpo_init_vnode_label`

void mpo_init_vnode_label( label);

struct label *label;

参数	说明	锁定
`label`	将被初始化的新标记

为一个刚刚实例化的 vnode 初始化安全标记。可以睡眠。

6.7.2.14. `mpo_destroy_bpfdesc_label`

void mpo_destroy_bpfdesc_label( label);

struct label *label;

参数	说明	锁定
`label`	bpfdesc 标记

销毁一个 BPF 描述子上的标记。在该入口函数中，策略应当释放所有在内部分配与 label 相关联的存储空间，以便销毁该标记。

6.7.2.15. `mpo_destroy_cred_label`

void mpo_destroy_cred_label( label);

struct label *label;

参数	说明	锁定
`label`	将被销毁的标记

销毁一个信任状上的标记。在该入口函数中，策略应当释放所有在内部分配的与 label 相关联的存储空间，以便销毁该标记。

6.7.2.16. `mpo_destroy_devfsdirent_label`

void mpo_destroy_devfsdirent_label( label);

struct label *label;

参数	说明	锁定
`label`	将被销毁的标记

销毁一个 devfs 表项上的标记。在该入口函数中，策略应当释放所有在内部分配的与 label 相关联的存储空间，以便销毁该标记。

6.7.2.17. `mpo_destroy_ifnet_label`

void mpo_destroy_ifnet_label( label);

struct label *label;

参数	说明	锁定
`label`	将被销毁的标记

销毁与一个已删除接口相关联的标记。在该入口函数中，策略应当释放所有在内部分配的与 label 相关联的存储空间，以便销毁该标记。

6.7.2.18. `mpo_destroy_ipq_label`

void mpo_destroy_ipq_label( label);

struct label *label;

参数	说明	锁定
`label`	将被销毁的标记

销毁与一个 IP 分片队列相关联的标记。在该入口函数中，策略应当释放所有在内部分配的与 label 相关联的存储空间，以便销毁该标记。

6.7.2.19. `mpo_destroy_mbuf_label`

void mpo_destroy_mbuf_label( label);

struct label *label;

参数	说明	锁定
`label`	将被销毁的标记

销毁与一个 Mbuf 相关联的标记。在该入口函数中，策略应当释放所有在内部分配的与 label 相关联的存储空间，以便销毁该标记。

6.7.2.20. `mpo_destroy_mount_label`

void mpo_destroy_mount_label( label);

struct label *label;

参数	说明	锁定
`label`	将被销毁的 Mount 点标记

销毁与一个 mount 点相关联的标记。在该入口函数中，策略应当释放所有在内部分配的与 mntlabel 相关联的存储空间，以便销毁该标记。

6.7.2.21. `mpo_destroy_mount_label`

`void mpo_destroy_mount_label(`	`mntlabel`,
	`fslabel)`;

struct label *mntlabel;
struct label *fslabel;

参数	说明	锁定
`mntlabel`	将被销毁的 Mount 点标记
`fslabel`	File system label being destroyed>

销毁与一个 mount 点相关联的标记。在该入口函数中，策略应当释放所有在内部分配的，与 mntlabel 和fslabel 相关联的存储空间，以便销毁该标记。

6.7.2.22. `mpo_destroy_socket_label`

void mpo_destroy_socket_label( label);

struct label *label;

参数	说明	锁定
`label`	将被销毁的套接字标记

销毁与一个套接字相关联的标记。在该入口函数中，策略应当释放所有在内部分配的，与 label 相关联的存储空间，以便销毁该标记。

6.7.2.23. `mpo_destroy_socket_peer_label`

void mpo_destroy_socket_peer_label( peerlabel);

struct label *peerlabel;

参数	说明	锁定
`peerlabel`	将被销毁的套接字对等实体标记

销毁与一个套接字相关联的对等实体标记。在该入口函数中，策略应当释放所有在内部分配的，与 label 相关联的存储空间，以便销毁该标记。

6.7.2.24. `mpo_destroy_pipe_label`

void mpo_destroy_pipe_label( label);

struct label *label;

参数	说明	锁定
`label`	管道标记

销毁一个管道的标记。在该入口函数中，策略应当释放所有在内部分配的，与 label 相关联的存储空间，以便销毁该标记。

6.7.2.25. `mpo_destroy_proc_label`

void mpo_destroy_proc_label( label);

struct label *label;

参数	说明	锁定
`label`	进程标记

销毁一个进程的标记。在该入口函数中，策略应当释放所有在内部分配的，与 label 相关联的存储空间，以便销毁该标记。

6.7.2.26. `mpo_destroy_vnode_label`

void mpo_destroy_vnode_label( label);

struct label *label;

参数	说明	锁定
`label`	进程标记

销毁一个 vnode 的标记。在该入口函数中，策略应当释放所有在内部分配的，与 label 相关联的存储空间，以便销毁该标记。

6.7.2.27. `mpo_copy_mbuf_label`

`void mpo_copy_mbuf_label(`	`src`,
	`dest)`;

struct label *src;
struct label *dest;

参数	说明	锁定
`src`	源标记
`dest`	目标标记

将 src 中的标记信息拷贝到 dest中。

6.7.2.28. `mpo_copy_pipe_label`

`void mpo_copy_pipe_label(`	`src`,
	`dest)`;

struct label *src;
struct label *dest;

参数	说明	锁定
`src`	源标记
`dest`	目标标记

将 src 中的标记信息拷贝至 dest。

6.7.2.29. `mpo_copy_vnode_label`

`void mpo_copy_vnode_label(`	`src`,
	`dest)`;

struct label *src;
struct label *dest;

参数	说明	锁定
`src`	源标记
`dest`	目标标记

将 src 中的标记信息拷贝至 dest。