我知道阿帕莫尔以及具体如何使用它限制文件系统权限允许的程序访问权限。我不太清楚的是 Apparmor 或任何类似的安全模块是否可以完全覆盖程序的访问权限。他们可以吗授予程序可以访问用户无法访问的读/写/执行文件。
我问的是 Linux 内核将允许这样的安全模块做什么，而不是现有的安全模块可以配置做什么。
安全模块可以完全覆盖Linux内核的访问模型吗？
答案1
这似乎没有提到内核的 LSM 文档，但是不，安全模块不能完全覆盖内核的访问模型，它们是对其的补充。
例如，执行前的检查包括do_open_execat，检查权限； LSM 挂钩稍后会被调用（查找security_）。其他示例包括中的所有功能fs/namei.c其中调用函数如下may_delete在相关的 LSM 挂钩之前。