sys/security/mac/mac_inet6.c

   1 /*-
   2  * Copyright (c) 2007-2009 Robert N. M. Watson
   3  * All rights reserved.
   4  *
   5  * This software was developed by Robert Watson for the TrustedBSD Project.
   6  *
   7  * This software was developed at the University of Cambridge Computer
   8  * Laboratory with support from a grant from Google, Inc.
   9  *
  10  * Redistribution and use in source and binary forms, with or without
  11  * modification, are permitted provided that the following conditions
  12  * are met:
  13  * 1. Redistributions of source code must retain the above copyright
  14  *    notice, this list of conditions and the following disclaimer.
  15  * 2. Redistributions in binary form must reproduce the above copyright
  16  *    notice, this list of conditions and the following disclaimer in the
  17  *    documentation and/or other materials provided with the distribution.
  18  *
  19  * THIS SOFTWARE IS PROVIDED BY THE AUTHOR AND CONTRIBUTORS ``AS IS'' AND
  20  * ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE
  21  * IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE
  22  * ARE DISCLAIMED.  IN NO EVENT SHALL THE AUTHOR OR CONTRIBUTORS BE LIABLE
  23  * FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL
  24  * DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS
  25  * OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION)
  26  * HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT
  27  * LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY
  28  * OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF
  29  * SUCH DAMAGE.
  30  */
  31
  32 #include <sys/cdefs.h>
  33 __FBSDID("$FreeBSD$");
  34
  35 #include "opt_mac.h"
  36
  37 #include <sys/param.h>
  38 #include <sys/kernel.h>
  39 #include <sys/lock.h>
  40 #include <sys/malloc.h>
  41 #include <sys/mutex.h>
  42 #include <sys/sbuf.h>
  43 #include <sys/systm.h>
  44 #include <sys/mount.h>
  45 #include <sys/file.h>
  46 #include <sys/namei.h>
  47 #include <sys/protosw.h>
  48 #include <sys/socket.h>
  49 #include <sys/socketvar.h>
  50 #include <sys/sysctl.h>
  51
  52 #include <net/if.h>
  53 #include <net/if_var.h>
  54
  55 #include <netinet/in.h>
  56 #include <netinet/ip6.h>
  57 #include <netinet6/ip6_var.h>
  58
  59 #include <security/mac/mac_framework.h>
  60 #include <security/mac/mac_internal.h>
  61 #include <security/mac/mac_policy.h>
  62
  63 static struct label *
  64 mac_ip6q_label_alloc(int flag)
  65 {
  66         struct label *label;
  67         int error;
  68
  69         label = mac_labelzone_alloc(flag);
  70         if (label == NULL)
  71                 return (NULL);
  72
  73         if (flag & M_WAITOK)
  74                 MAC_POLICY_CHECK(ip6q_init_label, label, flag);
  75         else
  76                 MAC_POLICY_CHECK_NOSLEEP(ip6q_init_label, label, flag);
  77         if (error) {
  78                 MAC_POLICY_PERFORM_NOSLEEP(ip6q_destroy_label, label);
  79                 mac_labelzone_free(label);
  80                 return (NULL);
  81         }
  82         return (label);
  83 }
  84
  85 int
  86 mac_ip6q_init(struct ip6q *q6, int flag)
  87 {
  88
  89         if (mac_labeled & MPC_OBJECT_IP6Q) {
  90                 q6->ip6q_label = mac_ip6q_label_alloc(flag);
  91                 if (q6->ip6q_label == NULL)
  92                         return (ENOMEM);
  93         } else
  94                 q6->ip6q_label = NULL;
  95         return (0);
  96 }
  97
  98 static void
  99 mac_ip6q_label_free(struct label *label)
 100 {
 101
 102         MAC_POLICY_PERFORM_NOSLEEP(ip6q_destroy_label, label);
 103         mac_labelzone_free(label);
 104 }
 105
 106 void
 107 mac_ip6q_destroy(struct ip6q *q6)
 108 {
 109
 110         if (q6->ip6q_label != NULL) {
 111                 mac_ip6q_label_free(q6->ip6q_label);
 112                 q6->ip6q_label = NULL;
 113         }
 114 }
 115
 116 void
 117 mac_ip6q_reassemble(struct ip6q *q6, struct mbuf *m)
 118 {
 119         struct label *label;
 120
 121         if (mac_policy_count == 0)
 122                 return;
 123
 124         label = mac_mbuf_to_label(m);
 125
 126         MAC_POLICY_PERFORM_NOSLEEP(ip6q_reassemble, q6, q6->ip6q_label, m,
 127             label);
 128 }
 129
 130 void
 131 mac_ip6q_create(struct mbuf *m, struct ip6q *q6)
 132 {
 133         struct label *label;
 134
 135         if (mac_policy_count == 0)
 136                 return;
 137
 138         label = mac_mbuf_to_label(m);
 139
 140         MAC_POLICY_PERFORM_NOSLEEP(ip6q_create, m, label, q6,
 141             q6->ip6q_label);
 142 }
 143
 144 int
 145 mac_ip6q_match(struct mbuf *m, struct ip6q *q6)
 146 {
 147         struct label *label;
 148         int result;
 149
 150         if (mac_policy_count == 0)
 151                 return (1);
 152
 153         label = mac_mbuf_to_label(m);
 154
 155         result = 1;
 156         MAC_POLICY_BOOLEAN_NOSLEEP(ip6q_match, &&, m, label, q6,
 157             q6->ip6q_label);
 158
 159         return (result);
 160 }
 161
 162 void
 163 mac_ip6q_update(struct mbuf *m, struct ip6q *q6)
 164 {
 165         struct label *label;
 166
 167         if (mac_policy_count == 0)
 168                 return;
 169
 170         label = mac_mbuf_to_label(m);
 171
 172         MAC_POLICY_PERFORM_NOSLEEP(ip6q_update, m, label, q6,
 173             q6->ip6q_label);
 174 }
 175
 176 void
 177 mac_netinet6_nd6_send(struct ifnet *ifp, struct mbuf *m)
 178 {
 179         struct label *mlabel;
 180
 181         if (mac_policy_count == 0)
 182                 return;
 183
 184         mlabel = mac_mbuf_to_label(m);
 185
 186         MAC_POLICY_PERFORM_NOSLEEP(netinet6_nd6_send, ifp, ifp->if_label, m,
 187             mlabel);
 188 }