Day-309-Android 安全架构

# Day 326: Android 安全架构 - 安全启动/SELinux/沙盒/权限模型

> 移动安全系列第 6 天 | 预计阅读时间：40 分钟 | 难度：★★★★☆

---

## 清单 目录

1. [Android 安全概述](#android-安全概述)
2. [安全启动机制](#安全启动机制)
3. [SELinux 安全](#selinux-安全)
4. [应用沙盒机制](#应用沙盒机制)
5. [权限模型](#权限模型)
6. [加密与密钥管理](#加密与密钥管理)
7. [总结与思考](#总结与思考)
8. [参考资料](#参考资料)

---

## Android 安全概述

### 安全架构

**分层安全模型**：
```
应用层:
- 应用沙盒
- 权限控制
- 代码签名

框架层:
- 权限管理
- 组件安全
- IPC 安全

原生层:
- SELinux
- 内存保护
- 系统调用过滤

内核层:
- 安全启动
- 内核保护
- 驱动安全

硬件层:
- TrustZone
- 安全芯片
- 硬件加密
```

**安全特性**：
```
用户隔离:
- 每应用独立 UID
- 文件系统隔离
- 进程隔离

代码安全:
- 代码签名验证
- 完整性检查
- 防篡改保护

数据安全:
- 文件加密
- 密钥管理
- 安全存储
```

---

## 安全启动机制

### 启动链安全

**启动流程**：
```
1. Boot ROM (硬件信任根)
   - 不可修改
   - 验证 Bootloader 签名
   - 硬件级安全

2. Bootloader (二级引导)
   - 验证内核签名
   - 验证启动参数
   - 可选锁定

3. Android Bootloader
   - 验证 System 分区
   - 验证 Vendor 分区
   - 验证 Boot 分区

4. Kernel (内核)
   - 验证 Init 进程
   - 启动安全服务
   - 启用 SELinux

5. Android OS
   - 验证系统应用
   - 启动安全服务
   - 启用完整保护
```

### Verified Boot

**AVB (Android Verified Boot)**：
```
分区验证:
- Boot 分区
- System 分区
- Vendor 分区
- Product 分区

验证机制:
- 哈希树验证
- 数字签名
- 防回滚保护

启动状态:
- GREEN: 完全验证
- YELLOW: 自定义系统
- ORANGE: 引导解锁
- RED: 验证失败
```

**实现示例**：
```bash
# 检查启动状态
getprop ro.boot.verifiedbootstate

# 检查验证状态
adb shell avbtool verify_image --image system.img

# 检查防回滚
getprop ro.boot.flash.locked
```

---

## SELinux 安全

### SELinux 机制

**强制访问控制**：
```
模式:
- Enforcing: 强制执行
- Permissive: 仅记录
- Disabled: 禁用

策略类型:
- Targeted: 目标进程
- MLS: 多级安全
- MCS: 多级类别
```

**Android SELinux**：
```
域 (Domain):
- untrusted_app: 第三方应用
- platform_app: 系统应用
- system_server: 系统服务
- kernel: 内核

类型 (Type):
- app_data_file: 应用数据
- system_file: 系统文件
- device: 设备节点
```

### 策略配置

**策略文件**：
```selinux
# 应用域定义
type untrusted_app, domain;
type untrusted_app_data_file, file_type, data_file_type;

# 访问控制规则
allow untrusted_app app_data_file:file { read write create };
allow untrusted_app net_dns_server:udp_socket { name_bind };

# 禁止访问
neverallow untrusted_app kernel:process { sigkill sigterm };
```

**检查命令**：
```bash
# 查看 SELinux 状态
getenforce

# 查看进程上下文
ps -Z

# 查看文件上下文
ls -Z

# 查看拒绝日志
dmesg | grep avc
```

---

## 应用沙盒机制

### 沙盒隔离

**UID 隔离**：
```
每应用独立 UID:
- 安装时分配
- 永久绑定
- 无法共享

文件系统隔离:
- /data/data/<package>/
- 其他应用无法访问
- 需要权限共享
```

**进程隔离**：
```
独立进程空间:
- 独立内存空间
- 独立文件描述符
- 独立网络命名空间

Zygote 机制:
- 预加载常用类
- 快速启动应用
- 内存共享优化
```

### 组件安全

**四大组件**：
```
Activity:
- 界面展示
- Intent 过滤
- 导出控制

Service:
- 后台服务
- 绑定服务
- 权限保护

BroadcastReceiver:
- 广播接收
- 系统广播
- 自定义广播

ContentProvider:
- 数据共享
- URI 访问
- 权限控制
```

**导出控制**：
```xml

<activity
    android:name=".MainActivity"
    android:exported="false" />

<provider
    android:name=".DataProvider"
    android:exported="false"
    android:grantUriPermissions="true" />
```

---

## 权限模型

### 权限分级

**Normal 权限**：
```
特点:
- 低风险
- 自动授予
- 无需用户确认

示例:
- INTERNET: 网络访问
- ACCESS_NETWORK_STATE: 网络状态
- VIBRATE: 振动
```

**Dangerous 权限**：
```
特点:
- 高风险
- 运行时授权
- 需要用户确认

权限组:
- CALENDAR: 日历
- CAMERA: 相机
- CONTACTS: 联系人
- LOCATION: 位置
- MICROPHONE: 麦克风
- PHONE: 电话
- SENSORS: 传感器
- SMS: 短信
- STORAGE: 存储
```

**Signature 权限**：
```
特点:
- 系统级权限
- 同签名应用
- 严格限制

示例:
- INSTALL_PACKAGES: 安装应用
- DELETE_PACKAGES: 删除应用
- DEVICE_POWER: 设备电源
```

### 运行时权限

**授权流程**：
```java
// 检查权限
if (ContextCompat.checkSelfPermission(this,
        Manifest.permission.CAMERA)
        != PackageManager.PERMISSION_GRANTED) {
    
    // 请求权限
    ActivityCompat.requestPermissions(this,
        new String[]{Manifest.permission.CAMERA},
        REQUEST_CODE);
} else {
    // 权限已授予
    openCamera();
}

// 处理授权结果
@Override
public void onRequestPermissionsResult(int requestCode,
        String[] permissions, int[] grantResults) {
    if (grantResults.length > 0
        && grantResults[0] == PackageManager.PERMISSION_GRANTED) {
        openCamera();
    } else {
        showPermissionDenied();
    }
}
```

**权限最佳实践**：
```
最小权限原则:
- 仅请求必要权限
- 说明权限用途
- 处理拒绝情况

渐进式授权:
- 按需请求
- 场景化说明
- 提供替代方案
```

---

## 加密与密钥管理

### 文件加密

**FBE (File-Based Encryption)**：
```
加密类型:
- Device Encrypted: 设备启动后可访问
- Credential Encrypted: 用户解锁后可访问

实现:
- 每文件独立密钥
- 密钥硬件保护
- 用户凭证派生
```

**加密配置**：
```xml

<application
    android:directBootAware="true"
    ... >
    
    
</application>
```

### 密钥管理

**Android Keystore**：
```
功能:
- 硬件级密钥保护
- 密钥生成
- 加密解密
- 签名验证

安全特性:
- 密钥不出硬件
- 防暴力破解
- 用户认证绑定
```

**使用示例**：
```java
// 生成密钥
KeyGenerator keyGen = KeyGenerator.getInstance(
    KeyProperties.KEY_ALGORITHM_AES, "AndroidKeyStore");

keyGen.init(new KeyGenParameterSpec.Builder(
    "my_key",
    KeyProperties.PURPOSE_ENCRYPT | KeyProperties.PURPOSE_DECRYPT)
    .setBlockModes(KeyProperties.BLOCK_MODE_GCM)
    .setEncryptionPaddings(KeyProperties.ENCRYPTION_PADDING_NONE)
    .setUserAuthenticationRequired(true)
    .build());

SecretKey key = keyGen.generateKey();

// 使用密钥加密
Cipher cipher = Cipher.getInstance("AES/GCM/NoPadding");
cipher.init(Cipher.ENCRYPT_MODE, key);
byte[] encrypted = cipher.doFinal(plaintext);
```

---

## 总结与思考

### 核心要点回顾

1. **安全启动**：Boot ROM、Bootloader、Verified Boot
2. **SELinux**：强制访问控制、策略配置
3. **应用沙盒**：UID 隔离、进程隔离、组件安全
4. **权限模型**：Normal/Dangerous/Signature、运行时授权
5. **加密管理**：FBE、Keystore、硬件保护

### 深入思考

**安全挑战**：
- 碎片化严重
- 更新延迟
- 厂商定制
- 用户意识

**发展方向**：
- 硬件安全增强
- 隐私保护加强
- 自动化安全
- 零信任架构

### 最佳实践

**开发者**：
- 最小权限原则
- 安全编码
- 定期更新
- 安全测试

**用户**：
- 官方应用商店
- 及时更新
- 权限审查
- 安全意识

---

## 参考资料

### 学习资源

- **Android Security**: https://source.android.com/security
- **Android Developers Security**: https://developer.android.com/security
- **OWASP Mobile Security**: https://owasp.org/www-project-mobile-security/

### 工具资源

- **Android Studio**: https://developer.android.com/studio
- **MobSF**: https://github.com/MobSF/Mobile-Security-Framework-MobSF
- **Frida**: https://frida.re

---

*Day 326 完成 | Android 安全架构详解 | 字数：约 15,000 字 (拆分版)*