sys/security/mac_partition/mac_partition.c

   1 /*-
   2  * Copyright (c) 1999-2002 Robert N. M. Watson
   3  * Copyright (c) 2001-2002 Networks Associates Technology, Inc.
   4  * All rights reserved.
   5  *
   6  * This software was developed by Robert Watson for the TrustedBSD Project.
   7  *
   8  * This software was developed for the FreeBSD Project in part by Network
   9  * Associates Laboratories, the Security Research Division of Network
  10  * Associates, Inc. under DARPA/SPAWAR contract N66001-01-C-8035 ("CBOSS"),
  11  * as part of the DARPA CHATS research program.
  12  *
  13  * Redistribution and use in source and binary forms, with or without
  14  * modification, are permitted provided that the following conditions
  15  * are met:
  16  * 1. Redistributions of source code must retain the above copyright
  17  *    notice, this list of conditions and the following disclaimer.
  18  * 2. Redistributions in binary form must reproduce the above copyright
  19  *    notice, this list of conditions and the following disclaimer in the
  20  *    documentation and/or other materials provided with the distribution.
  21  *
  22  * THIS SOFTWARE IS PROVIDED BY THE AUTHOR AND CONTRIBUTORS ``AS IS'' AND
  23  * ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE
  24  * IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE
  25  * ARE DISCLAIMED.  IN NO EVENT SHALL THE AUTHOR OR CONTRIBUTORS BE LIABLE
  26  * FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL
  27  * DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS
  28  * OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION)
  29  * HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT
  30  * LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY
  31  * OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF
  32  * SUCH DAMAGE.
  33  *
  34  * $FreeBSD$
  35  */
  36
  37 /*
  38  * Developed by the TrustedBSD Project.
  39  * Experiment with a partition-like model.
  40  */
  41
  42 #include <sys/types.h>
  43 #include <sys/param.h>
  44 #include <sys/conf.h>
  45 #include <sys/kernel.h>
  46 #include <sys/mac.h>
  47 #include <sys/mount.h>
  48 #include <sys/proc.h>
  49 #include <sys/sbuf.h>
  50 #include <sys/systm.h>
  51 #include <sys/sysproto.h>
  52 #include <sys/sysent.h>
  53 #include <sys/vnode.h>
  54 #include <sys/file.h>
  55 #include <sys/socket.h>
  56 #include <sys/socketvar.h>
  57 #include <sys/sysctl.h>
  58
  59 #include <fs/devfs/devfs.h>
  60
  61 #include <net/bpfdesc.h>
  62 #include <net/if.h>
  63 #include <net/if_types.h>
  64 #include <net/if_var.h>
  65
  66 #include <vm/vm.h>
  67
  68 #include <sys/mac_policy.h>
  69
  70 #include <security/mac_partition/mac_partition.h>
  71
  72 SYSCTL_DECL(_security_mac);
  73
  74 SYSCTL_NODE(_security_mac, OID_AUTO, partition, CTLFLAG_RW, 0,
  75     "TrustedBSD mac_partition policy controls");
  76
  77 static int      mac_partition_enabled = 1;
  78 SYSCTL_INT(_security_mac_partition, OID_AUTO, enabled, CTLFLAG_RW,
  79     &mac_partition_enabled, 0, "Enforce partition policy");
  80
  81 static int      partition_slot;
  82 #define SLOT(l) (LABEL_TO_SLOT((l), partition_slot).l_long)
  83
  84 static void
  85 mac_partition_init(struct mac_policy_conf *conf)
  86 {
  87
  88 }
  89
  90 static void
  91 mac_partition_init_label(struct label *label)
  92 {
  93
  94         SLOT(label) = 0;
  95 }
  96
  97 static void
  98 mac_partition_destroy_label(struct label *label)
  99 {
 100
 101         SLOT(label) = 0;
 102 }
 103
 104 static void
 105 mac_partition_copy_label(struct label *src, struct label *dest)
 106 {
 107
 108         SLOT(dest) = SLOT(src);
 109 }
 110
 111 static int
 112 mac_partition_externalize_label(struct label *label, char *element_name,
 113     struct sbuf *sb, int *claimed)
 114 {
 115
 116         if (strcmp(MAC_PARTITION_LABEL_NAME, element_name) != 0)
 117                 return (0);
 118
 119         (*claimed)++;
 120
 121         if (sbuf_printf(sb, "%ld", SLOT(label)) == -1)
 122                 return (EINVAL);
 123         else
 124                 return (0);
 125 }
 126
 127 static int
 128 mac_partition_internalize_label(struct label *label, char *element_name,
 129     char *element_data, int *claimed)
 130 {
 131
 132         if (strcmp(MAC_PARTITION_LABEL_NAME, element_name) != 0)
 133                 return (0);
 134
 135         (*claimed)++;
 136         SLOT(label) = strtol(element_data, NULL, 10);
 137         return (0);
 138 }
 139
 140 static void
 141 mac_partition_create_proc0(struct ucred *cred)
 142 {
 143
 144         SLOT(cred->cr_label) = 0;
 145 }
 146
 147 static void
 148 mac_partition_create_proc1(struct ucred *cred)
 149 {
 150
 151         SLOT(cred->cr_label) = 0;
 152 }
 153
 154 static void
 155 mac_partition_relabel_cred(struct ucred *cred, struct label *newlabel)
 156 {
 157
 158         if (SLOT(newlabel) != 0)
 159                 SLOT(cred->cr_label) = SLOT(newlabel);
 160 }
 161
 162 static int
 163 label_on_label(struct label *subject, struct label *object)
 164 {
 165
 166         if (mac_partition_enabled == 0)
 167                 return (0);
 168
 169         if (SLOT(subject) == 0)
 170                 return (0);
 171
 172         if (SLOT(subject) == SLOT(object))
 173                 return (0);
 174
 175         return (EPERM);
 176 }
 177
 178 static int
 179 mac_partition_check_cred_relabel(struct ucred *cred, struct label *newlabel)
 180 {
 181         int error;
 182
 183         error = 0;
 184
 185         /* Treat "0" as a no-op request. */
 186         if (SLOT(newlabel) != 0) {
 187                 /*
 188                  * Require BSD privilege in order to change the partition.
 189                  * Originally we also required that the process not be
 190                  * in a partition in the first place, but this didn't
 191                  * interact well with sendmail.
 192                  */
 193                 error = suser_cred(cred, 0);
 194         }
 195
 196         return (error);
 197 }
 198
 199 static int
 200 mac_partition_check_cred_visible(struct ucred *u1, struct ucred *u2)
 201 {
 202         int error;
 203
 204         error = label_on_label(u1->cr_label, u2->cr_label);
 205
 206         return (error == 0 ? 0 : ESRCH);
 207 }
 208
 209 static int
 210 mac_partition_check_proc_debug(struct ucred *cred, struct proc *proc)
 211 {
 212         int error;
 213
 214         error = label_on_label(cred->cr_label, proc->p_ucred->cr_label);
 215
 216         return (error ? ESRCH : 0);
 217 }
 218
 219 static int
 220 mac_partition_check_proc_sched(struct ucred *cred, struct proc *proc)
 221 {
 222         int error;
 223
 224         error = label_on_label(cred->cr_label, proc->p_ucred->cr_label);
 225
 226         return (error ? ESRCH : 0);
 227 }
 228
 229 static int
 230 mac_partition_check_proc_signal(struct ucred *cred, struct proc *proc,
 231     int signum)
 232 {
 233         int error;
 234
 235         error = label_on_label(cred->cr_label, proc->p_ucred->cr_label);
 236
 237         return (error ? ESRCH : 0);
 238 }
 239
 240 static int
 241 mac_partition_check_socket_visible(struct ucred *cred, struct socket *socket,
 242     struct label *socketlabel)
 243 {
 244         int error;
 245
 246         error = label_on_label(cred->cr_label, socketlabel);
 247
 248         return (error ? ENOENT : 0);
 249 }
 250
 251 static int
 252 mac_partition_check_vnode_exec(struct ucred *cred, struct vnode *vp,
 253     struct label *label, struct image_params *imgp, struct label *execlabel)
 254 {
 255
 256         if (execlabel != NULL) {
 257                 /*
 258                  * We currently don't permit labels to be changed at
 259                  * exec-time as part of the partition model, so disallow
 260                  * non-NULL partition label changes in execlabel.
 261                  */
 262                 if (SLOT(execlabel) != 0)
 263                         return (EINVAL);
 264         }
 265
 266         return (0);
 267 }
 268
 269 static struct mac_policy_ops mac_partition_ops =
 270 {
 271         .mpo_init = mac_partition_init,
 272         .mpo_init_cred_label = mac_partition_init_label,
 273         .mpo_destroy_cred_label = mac_partition_destroy_label,
 274         .mpo_copy_cred_label = mac_partition_copy_label,
 275         .mpo_externalize_cred_label = mac_partition_externalize_label,
 276         .mpo_internalize_cred_label = mac_partition_internalize_label,
 277         .mpo_create_proc0 = mac_partition_create_proc0,
 278         .mpo_create_proc1 = mac_partition_create_proc1,
 279         .mpo_relabel_cred = mac_partition_relabel_cred,
 280         .mpo_check_cred_relabel = mac_partition_check_cred_relabel,
 281         .mpo_check_cred_visible = mac_partition_check_cred_visible,
 282         .mpo_check_proc_debug = mac_partition_check_proc_debug,
 283         .mpo_check_proc_sched = mac_partition_check_proc_sched,
 284         .mpo_check_proc_signal = mac_partition_check_proc_signal,
 285         .mpo_check_socket_visible = mac_partition_check_socket_visible,
 286         .mpo_check_vnode_exec = mac_partition_check_vnode_exec,
 287 };
 288
 289 MAC_POLICY_SET(&mac_partition_ops, mac_partition, "TrustedBSD MAC/Partition",
 290     MPC_LOADTIME_FLAG_UNLOADOK, &partition_slot);