secmodel_overlay.c revision 1.4.2.2
1 1.4.2.2 yamt /* $NetBSD: secmodel_overlay.c,v 1.4.2.2 2006/12/30 20:50:55 yamt Exp $ */ 2 1.4.2.2 yamt /*- 3 1.4.2.2 yamt * Copyright (c) 2006 Elad Efrat <elad (at) NetBSD.org> 4 1.4.2.2 yamt * All rights reserved. 5 1.4.2.2 yamt * 6 1.4.2.2 yamt * Redistribution and use in source and binary forms, with or without 7 1.4.2.2 yamt * modification, are permitted provided that the following conditions 8 1.4.2.2 yamt * are met: 9 1.4.2.2 yamt * 1. Redistributions of source code must retain the above copyright 10 1.4.2.2 yamt * notice, this list of conditions and the following disclaimer. 11 1.4.2.2 yamt * 2. Redistributions in binary form must reproduce the above copyright 12 1.4.2.2 yamt * notice, this list of conditions and the following disclaimer in the 13 1.4.2.2 yamt * documentation and/or other materials provided with the distribution. 14 1.4.2.2 yamt * 3. All advertising materials mentioning features or use of this software 15 1.4.2.2 yamt * must display the following acknowledgement: 16 1.4.2.2 yamt * This product includes software developed by Elad Efrat. 17 1.4.2.2 yamt * 4. The name of the author may not be used to endorse or promote products 18 1.4.2.2 yamt * derived from this software without specific prior written permission. 19 1.4.2.2 yamt * 20 1.4.2.2 yamt * THIS SOFTWARE IS PROVIDED BY THE AUTHOR ``AS IS'' AND ANY EXPRESS OR 21 1.4.2.2 yamt * IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED WARRANTIES 22 1.4.2.2 yamt * OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE DISCLAIMED. 23 1.4.2.2 yamt * IN NO EVENT SHALL THE AUTHOR BE LIABLE FOR ANY DIRECT, INDIRECT, 24 1.4.2.2 yamt * INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES (INCLUDING, BUT 25 1.4.2.2 yamt * NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES; LOSS OF USE, 26 1.4.2.2 yamt * DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED AND ON ANY 27 1.4.2.2 yamt * THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY, OR TORT 28 1.4.2.2 yamt * (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE OF 29 1.4.2.2 yamt * THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE. 30 1.4.2.2 yamt */ 31 1.4.2.2 yamt 32 1.4.2.2 yamt #include <sys/cdefs.h> 33 1.4.2.2 yamt __KERNEL_RCSID(0, "$NetBSD: secmodel_overlay.c,v 1.4.2.2 2006/12/30 20:50:55 yamt Exp $"); 34 1.4.2.2 yamt 35 1.4.2.2 yamt #include <sys/types.h> 36 1.4.2.2 yamt #include <sys/param.h> 37 1.4.2.2 yamt #include <sys/kauth.h> 38 1.4.2.2 yamt 39 1.4.2.2 yamt #include <sys/sysctl.h> 40 1.4.2.2 yamt 41 1.4.2.2 yamt #include <secmodel/secmodel.h> 42 1.4.2.2 yamt #include <secmodel/overlay/overlay.h> 43 1.4.2.2 yamt 44 1.4.2.2 yamt #include <secmodel/bsd44/bsd44.h> 45 1.4.2.2 yamt #include <secmodel/bsd44/suser.h> 46 1.4.2.2 yamt #include <secmodel/bsd44/securelevel.h> 47 1.4.2.2 yamt 48 1.4.2.2 yamt /* 49 1.4.2.2 yamt * Fall-back settings. 50 1.4.2.2 yamt */ 51 1.4.2.2 yamt #define OVERLAY_ISCOPE_GENERIC "org.netbsd.kauth.overlay.generic" 52 1.4.2.2 yamt #define OVERLAY_ISCOPE_SYSTEM "org.netbsd.kauth.overlay.system" 53 1.4.2.2 yamt #define OVERLAY_ISCOPE_PROCESS "org.netbsd.kauth.overlay.process" 54 1.4.2.2 yamt #define OVERLAY_ISCOPE_NETWORK "org.netbsd.kauth.overlay.network" 55 1.4.2.2 yamt #define OVERLAY_ISCOPE_MACHDEP "org.netbsd.kauth.overlay.machdep" 56 1.4.2.2 yamt #define OVERLAY_ISCOPE_DEVICE "org.netbsd.kauth.overlay.device" 57 1.4.2.2 yamt 58 1.4.2.2 yamt static kauth_scope_t secmodel_overlay_iscope_generic; 59 1.4.2.2 yamt static kauth_scope_t secmodel_overlay_iscope_system; 60 1.4.2.2 yamt static kauth_scope_t secmodel_overlay_iscope_process; 61 1.4.2.2 yamt static kauth_scope_t secmodel_overlay_iscope_network; 62 1.4.2.2 yamt static kauth_scope_t secmodel_overlay_iscope_machdep; 63 1.4.2.2 yamt static kauth_scope_t secmodel_overlay_iscope_device; 64 1.4.2.2 yamt 65 1.4.2.2 yamt extern int secmodel_bsd44_curtain; 66 1.4.2.2 yamt 67 1.4.2.2 yamt /* 68 1.4.2.2 yamt * Initialize the overlay security model. 69 1.4.2.2 yamt */ 70 1.4.2.2 yamt void 71 1.4.2.2 yamt secmodel_overlay_init(void) 72 1.4.2.2 yamt { 73 1.4.2.2 yamt /* 74 1.4.2.2 yamt * Register internal fall-back scopes. 75 1.4.2.2 yamt */ 76 1.4.2.2 yamt secmodel_overlay_iscope_generic = kauth_register_scope( 77 1.4.2.2 yamt OVERLAY_ISCOPE_GENERIC, NULL, NULL); 78 1.4.2.2 yamt secmodel_overlay_iscope_system = kauth_register_scope( 79 1.4.2.2 yamt OVERLAY_ISCOPE_SYSTEM, NULL, NULL); 80 1.4.2.2 yamt secmodel_overlay_iscope_process = kauth_register_scope( 81 1.4.2.2 yamt OVERLAY_ISCOPE_PROCESS, NULL, NULL); 82 1.4.2.2 yamt secmodel_overlay_iscope_network = kauth_register_scope( 83 1.4.2.2 yamt OVERLAY_ISCOPE_NETWORK, NULL, NULL); 84 1.4.2.2 yamt secmodel_overlay_iscope_machdep = kauth_register_scope( 85 1.4.2.2 yamt OVERLAY_ISCOPE_MACHDEP, NULL, NULL); 86 1.4.2.2 yamt secmodel_overlay_iscope_device = kauth_register_scope( 87 1.4.2.2 yamt OVERLAY_ISCOPE_DEVICE, NULL, NULL); 88 1.4.2.2 yamt 89 1.4.2.2 yamt /* 90 1.4.2.2 yamt * Register fall-back listeners, from bsd44, to each internal 91 1.4.2.2 yamt * fall-back scope. 92 1.4.2.2 yamt */ 93 1.4.2.2 yamt kauth_listen_scope(OVERLAY_ISCOPE_GENERIC, 94 1.4.2.2 yamt secmodel_bsd44_suser_generic_cb, NULL); 95 1.4.2.2 yamt 96 1.4.2.2 yamt kauth_listen_scope(OVERLAY_ISCOPE_SYSTEM, 97 1.4.2.2 yamt secmodel_bsd44_suser_system_cb, NULL); 98 1.4.2.2 yamt kauth_listen_scope(OVERLAY_ISCOPE_SYSTEM, 99 1.4.2.2 yamt secmodel_bsd44_securelevel_system_cb, NULL); 100 1.4.2.2 yamt 101 1.4.2.2 yamt kauth_listen_scope(OVERLAY_ISCOPE_PROCESS, 102 1.4.2.2 yamt secmodel_bsd44_suser_process_cb, NULL); 103 1.4.2.2 yamt kauth_listen_scope(OVERLAY_ISCOPE_PROCESS, 104 1.4.2.2 yamt secmodel_bsd44_securelevel_process_cb, NULL); 105 1.4.2.2 yamt 106 1.4.2.2 yamt kauth_listen_scope(OVERLAY_ISCOPE_NETWORK, 107 1.4.2.2 yamt secmodel_bsd44_suser_network_cb, NULL); 108 1.4.2.2 yamt kauth_listen_scope(OVERLAY_ISCOPE_NETWORK, 109 1.4.2.2 yamt secmodel_bsd44_securelevel_network_cb, NULL); 110 1.4.2.2 yamt 111 1.4.2.2 yamt kauth_listen_scope(OVERLAY_ISCOPE_MACHDEP, 112 1.4.2.2 yamt secmodel_bsd44_suser_machdep_cb, NULL); 113 1.4.2.2 yamt kauth_listen_scope(OVERLAY_ISCOPE_MACHDEP, 114 1.4.2.2 yamt secmodel_bsd44_securelevel_machdep_cb, NULL); 115 1.4.2.2 yamt 116 1.4.2.2 yamt kauth_listen_scope(OVERLAY_ISCOPE_DEVICE, 117 1.4.2.2 yamt secmodel_bsd44_suser_device_cb, NULL); 118 1.4.2.2 yamt kauth_listen_scope(OVERLAY_ISCOPE_DEVICE, 119 1.4.2.2 yamt secmodel_bsd44_securelevel_device_cb, NULL); 120 1.4.2.2 yamt 121 1.4.2.2 yamt secmodel_bsd44_init(); 122 1.4.2.2 yamt } 123 1.4.2.2 yamt 124 1.4.2.2 yamt SYSCTL_SETUP(sysctl_security_overlay_setup, 125 1.4.2.2 yamt "sysctl security overlay setup") 126 1.4.2.2 yamt { 127 1.4.2.2 yamt const struct sysctlnode *rnode; 128 1.4.2.2 yamt 129 1.4.2.2 yamt sysctl_createv(clog, 0, NULL, &rnode, 130 1.4.2.2 yamt CTLFLAG_PERMANENT, 131 1.4.2.2 yamt CTLTYPE_NODE, "security", NULL, 132 1.4.2.2 yamt NULL, 0, NULL, 0, 133 1.4.2.2 yamt CTL_SECURITY, CTL_EOL); 134 1.4.2.2 yamt 135 1.4.2.2 yamt sysctl_createv(clog, 0, &rnode, &rnode, 136 1.4.2.2 yamt CTLFLAG_PERMANENT, 137 1.4.2.2 yamt CTLTYPE_NODE, "models", NULL, 138 1.4.2.2 yamt NULL, 0, NULL, 0, 139 1.4.2.2 yamt CTL_CREATE, CTL_EOL); 140 1.4.2.2 yamt 141 1.4.2.2 yamt sysctl_createv(clog, 0, &rnode, &rnode, 142 1.4.2.2 yamt CTLFLAG_PERMANENT, 143 1.4.2.2 yamt CTLTYPE_NODE, "overlay", 144 1.4.2.2 yamt SYSCTL_DESCR("Overlay security model on-top of bsd44, "), 145 1.4.2.2 yamt NULL, 0, NULL, 0, 146 1.4.2.2 yamt CTL_CREATE, CTL_EOL); 147 1.4.2.2 yamt 148 1.4.2.2 yamt sysctl_createv(clog, 0, &rnode, NULL, 149 1.4.2.2 yamt CTLFLAG_PERMANENT, 150 1.4.2.2 yamt CTLTYPE_STRING, "name", NULL, 151 1.4.2.2 yamt NULL, 0, __UNCONST("Overlay (on-top of bsd44)"), 0, 152 1.4.2.2 yamt CTL_CREATE, CTL_EOL); 153 1.4.2.2 yamt 154 1.4.2.2 yamt sysctl_createv(clog, 0, &rnode, NULL, 155 1.4.2.2 yamt CTLFLAG_PERMANENT|CTLFLAG_READWRITE, 156 1.4.2.2 yamt CTLTYPE_INT, "securelevel", 157 1.4.2.2 yamt SYSCTL_DESCR("System security level"), 158 1.4.2.2 yamt secmodel_bsd44_sysctl_securelevel, 0, &securelevel, 0, 159 1.4.2.2 yamt CTL_CREATE, CTL_EOL); 160 1.4.2.2 yamt 161 1.4.2.2 yamt sysctl_createv(clog, 0, &rnode, NULL, 162 1.4.2.2 yamt CTLFLAG_PERMANENT|CTLFLAG_READWRITE, 163 1.4.2.2 yamt CTLTYPE_INT, "curtain", 164 1.4.2.2 yamt SYSCTL_DESCR("Curtain information about objects to " 165 1.4.2.2 yamt "users not owning them."), 166 1.4.2.2 yamt NULL, 0, &secmodel_bsd44_curtain, 0, 167 1.4.2.2 yamt CTL_CREATE, CTL_EOL); 168 1.4.2.2 yamt } 169 1.4.2.2 yamt 170 1.4.2.2 yamt /* 171 1.4.2.2 yamt * Start the overlay security model. 172 1.4.2.2 yamt */ 173 1.4.2.2 yamt void 174 1.4.2.2 yamt secmodel_start(void) 175 1.4.2.2 yamt { 176 1.4.2.2 yamt secmodel_overlay_init(); 177 1.4.2.2 yamt 178 1.4.2.2 yamt kauth_listen_scope(KAUTH_SCOPE_GENERIC, 179 1.4.2.2 yamt secmodel_overlay_generic_cb, NULL); 180 1.4.2.2 yamt kauth_listen_scope(KAUTH_SCOPE_SYSTEM, 181 1.4.2.2 yamt secmodel_overlay_system_cb, NULL); 182 1.4.2.2 yamt kauth_listen_scope(KAUTH_SCOPE_PROCESS, 183 1.4.2.2 yamt secmodel_overlay_process_cb, NULL); 184 1.4.2.2 yamt kauth_listen_scope(KAUTH_SCOPE_NETWORK, 185 1.4.2.2 yamt secmodel_overlay_network_cb, NULL); 186 1.4.2.2 yamt kauth_listen_scope(KAUTH_SCOPE_MACHDEP, 187 1.4.2.2 yamt secmodel_overlay_machdep_cb, NULL); 188 1.4.2.2 yamt kauth_listen_scope(KAUTH_SCOPE_DEVICE, 189 1.4.2.2 yamt secmodel_overlay_device_cb, NULL); 190 1.4.2.2 yamt } 191 1.4.2.2 yamt 192 1.4.2.2 yamt /* 193 1.4.2.2 yamt * Overlay listener for the generic scope. 194 1.4.2.2 yamt */ 195 1.4.2.2 yamt int 196 1.4.2.2 yamt secmodel_overlay_generic_cb(kauth_cred_t cred, kauth_action_t action, 197 1.4.2.2 yamt void *cookie, void *arg0, void *arg1, void *arg2, void *arg3) 198 1.4.2.2 yamt { 199 1.4.2.2 yamt int result; 200 1.4.2.2 yamt 201 1.4.2.2 yamt result = KAUTH_RESULT_DEFER; 202 1.4.2.2 yamt 203 1.4.2.2 yamt switch (action) { 204 1.4.2.2 yamt default: 205 1.4.2.2 yamt result = KAUTH_RESULT_DEFER; 206 1.4.2.2 yamt break; 207 1.4.2.2 yamt } 208 1.4.2.2 yamt 209 1.4.2.2 yamt if (result == KAUTH_RESULT_DEFER) { 210 1.4.2.2 yamt result = kauth_authorize_action( 211 1.4.2.2 yamt secmodel_overlay_iscope_generic, cred, action, 212 1.4.2.2 yamt arg0, arg1, arg2, arg3); 213 1.4.2.2 yamt } 214 1.4.2.2 yamt 215 1.4.2.2 yamt return (result); 216 1.4.2.2 yamt } 217 1.4.2.2 yamt 218 1.4.2.2 yamt /* 219 1.4.2.2 yamt * Overlay listener for the system scope. 220 1.4.2.2 yamt */ 221 1.4.2.2 yamt int 222 1.4.2.2 yamt secmodel_overlay_system_cb(kauth_cred_t cred, kauth_action_t action, 223 1.4.2.2 yamt void *cookie, void *arg0, void *arg1, void *arg2, void *arg3) 224 1.4.2.2 yamt { 225 1.4.2.2 yamt int result; 226 1.4.2.2 yamt 227 1.4.2.2 yamt result = KAUTH_RESULT_DEFER; 228 1.4.2.2 yamt 229 1.4.2.2 yamt switch (action) { 230 1.4.2.2 yamt default: 231 1.4.2.2 yamt result = KAUTH_RESULT_DEFER; 232 1.4.2.2 yamt break; 233 1.4.2.2 yamt } 234 1.4.2.2 yamt 235 1.4.2.2 yamt if (result == KAUTH_RESULT_DEFER) { 236 1.4.2.2 yamt result = kauth_authorize_action( 237 1.4.2.2 yamt secmodel_overlay_iscope_system, cred, action, 238 1.4.2.2 yamt arg0, arg1, arg2, arg3); 239 1.4.2.2 yamt } 240 1.4.2.2 yamt 241 1.4.2.2 yamt return (result); 242 1.4.2.2 yamt } 243 1.4.2.2 yamt 244 1.4.2.2 yamt /* 245 1.4.2.2 yamt * Overlay listener for the process scope. 246 1.4.2.2 yamt */ 247 1.4.2.2 yamt int 248 1.4.2.2 yamt secmodel_overlay_process_cb(kauth_cred_t cred, kauth_action_t action, 249 1.4.2.2 yamt void *cookie, void *arg0, void *arg1, void *arg2, void *arg3) 250 1.4.2.2 yamt { 251 1.4.2.2 yamt int result; 252 1.4.2.2 yamt 253 1.4.2.2 yamt result = KAUTH_RESULT_DEFER; 254 1.4.2.2 yamt 255 1.4.2.2 yamt switch (action) { 256 1.4.2.2 yamt default: 257 1.4.2.2 yamt result = KAUTH_RESULT_DEFER; 258 1.4.2.2 yamt break; 259 1.4.2.2 yamt } 260 1.4.2.2 yamt 261 1.4.2.2 yamt if (result == KAUTH_RESULT_DEFER) { 262 1.4.2.2 yamt result = kauth_authorize_action( 263 1.4.2.2 yamt secmodel_overlay_iscope_process, cred, action, 264 1.4.2.2 yamt arg0, arg1, arg2, arg3); 265 1.4.2.2 yamt } 266 1.4.2.2 yamt 267 1.4.2.2 yamt return (result); 268 1.4.2.2 yamt } 269 1.4.2.2 yamt 270 1.4.2.2 yamt /* 271 1.4.2.2 yamt * Overlay listener for the network scope. 272 1.4.2.2 yamt */ 273 1.4.2.2 yamt int 274 1.4.2.2 yamt secmodel_overlay_network_cb(kauth_cred_t cred, kauth_action_t action, 275 1.4.2.2 yamt void *cookie, void *arg0, void *arg1, void *arg2, void *arg3) 276 1.4.2.2 yamt { 277 1.4.2.2 yamt int result; 278 1.4.2.2 yamt 279 1.4.2.2 yamt result = KAUTH_RESULT_DEFER; 280 1.4.2.2 yamt 281 1.4.2.2 yamt switch (action) { 282 1.4.2.2 yamt default: 283 1.4.2.2 yamt result = KAUTH_RESULT_DEFER; 284 1.4.2.2 yamt break; 285 1.4.2.2 yamt } 286 1.4.2.2 yamt 287 1.4.2.2 yamt if (result == KAUTH_RESULT_DEFER) { 288 1.4.2.2 yamt result = kauth_authorize_action( 289 1.4.2.2 yamt secmodel_overlay_iscope_network, cred, action, 290 1.4.2.2 yamt arg0, arg1, arg2, arg3); 291 1.4.2.2 yamt } 292 1.4.2.2 yamt 293 1.4.2.2 yamt return (result); 294 1.4.2.2 yamt } 295 1.4.2.2 yamt 296 1.4.2.2 yamt /* 297 1.4.2.2 yamt * Overlay listener for the machdep scope. 298 1.4.2.2 yamt */ 299 1.4.2.2 yamt int 300 1.4.2.2 yamt secmodel_overlay_machdep_cb(kauth_cred_t cred, kauth_action_t action, 301 1.4.2.2 yamt void *cookie, void *arg0, void *arg1, void *arg2, void *arg3) 302 1.4.2.2 yamt { 303 1.4.2.2 yamt int result; 304 1.4.2.2 yamt 305 1.4.2.2 yamt result = KAUTH_RESULT_DEFER; 306 1.4.2.2 yamt 307 1.4.2.2 yamt switch (action) { 308 1.4.2.2 yamt default: 309 1.4.2.2 yamt result = KAUTH_RESULT_DEFER; 310 1.4.2.2 yamt break; 311 1.4.2.2 yamt } 312 1.4.2.2 yamt 313 1.4.2.2 yamt if (result == KAUTH_RESULT_DEFER) { 314 1.4.2.2 yamt result = kauth_authorize_action( 315 1.4.2.2 yamt secmodel_overlay_iscope_machdep, cred, action, 316 1.4.2.2 yamt arg0, arg1, arg2, arg3); 317 1.4.2.2 yamt } 318 1.4.2.2 yamt 319 1.4.2.2 yamt return (result); 320 1.4.2.2 yamt } 321 1.4.2.2 yamt 322 1.4.2.2 yamt /* 323 1.4.2.2 yamt * Overlay listener for the device scope. 324 1.4.2.2 yamt */ 325 1.4.2.2 yamt int 326 1.4.2.2 yamt secmodel_overlay_device_cb(kauth_cred_t cred, kauth_action_t action, 327 1.4.2.2 yamt void *cookie, void *arg0, void *arg1, void *arg2, void *arg3) 328 1.4.2.2 yamt { 329 1.4.2.2 yamt int result; 330 1.4.2.2 yamt 331 1.4.2.2 yamt result = KAUTH_RESULT_DEFER; 332 1.4.2.2 yamt 333 1.4.2.2 yamt switch (action) { 334 1.4.2.2 yamt default: 335 1.4.2.2 yamt result = KAUTH_RESULT_DEFER; 336 1.4.2.2 yamt break; 337 1.4.2.2 yamt } 338 1.4.2.2 yamt 339 1.4.2.2 yamt if (result == KAUTH_RESULT_DEFER) { 340 1.4.2.2 yamt result = kauth_authorize_action( 341 1.4.2.2 yamt secmodel_overlay_iscope_device, cred, action, 342 1.4.2.2 yamt arg0, arg1, arg2, arg3); 343 1.4.2.2 yamt } 344 1.4.2.2 yamt 345 1.4.2.2 yamt return (result); 346 1.4.2.2 yamt } 347
Indexes created Sat Oct 25 01:09:55 GMT 2025